компанія Google ініціативу У рамках якої планується розкривати дані про вразливості в Android-пристроях різних OEM-виробників. Ініціатива зробить більш прозорим доведення до користувачів відомостей про вразливість, специфічну для прошивок з модифікаціями від сторонніх виробників.
Досі в офіційних звітах про вразливість (Android Security Bulletins) відображалися лише проблеми в основному коді, запропонованому в репозиторії AOSP, але не враховувалися проблеми, специфічні для модифікацій від OEM-виробників. Вже проблеми торкаються таких виробників, як ZTE, Meizu, Vivo, OPPO, Digitime, Transsion та Huawei.
Серед виявлених проблем:
- У пристроях Digitime замість перевірки додаткових повноважень доступу до API сервісу установки OTA-оновлень жорстко прошитий пароль, що дозволяє зловмиснику непомітно встановити APK-пакети та змінити права доступу додатку.
- У популярному у деяких OEM-виробників альтернативному браузері менеджер паролів у формі JavaScript-коду, який запускається в контексті кожної сторінки. Підконтрольний атакуючому сайт міг отримати повний доступ до сховища паролів користувача, для шифрування якого застосовувався ненадійний алгоритм DES і жорстко прошитий ключ.
- Програма System UI на пристроях Meizu додатковий код із мережі без шифрування та верифікації з'єднання. При контролі за HTTP-трафіком жертви атакуючий міг запустити свій код у контексті програми.
- У пристроях Vivo був метод checkUidPermission класу PackageManagerService для надання додаткових повноважень деяким програмам, навіть якщо ці повноваження не вказані у файлі з маніфестом. В одній версії метод надавав будь-які повноваження програм з ідентифікатором com.google.uid.shared. В іншій версії для надання повноважень виконувалася звірка імен пакетів за списком.
Джерело: opennet.ru