Google раскрыла серьезную уязвимость на смартфонах Samsung, Xiaomi и не только

Инициатива Google Android Partner Vulnerability Initiative (APVI) публично раскрыла новую уязвимость, которая затронула устройства от Samsung, LG, Xiaomi и других производителей.

Суть проблемы заключается в том, что у нескольких OEM-производителей Android произошла утечка ключей для “подписей” платформы за пределы их соответствующих компаний. Этот ключ используется для того, чтобы убедиться, что версия Android, установленная на вашем устройстве, является легитимной, созданной производителем. Этот же ключ может использоваться для подписи отдельных приложений.

По своей природе Android доверяет любому приложению, подписанному тем же ключом, который используется для подписи самой операционной системы. Злоумышленник, имеющий такие ключи подписи приложений, сможет использовать систему "общего идентификатора пользователя" Android для предоставления вредоносному ПО полных прав доступа на системном уровне на пораженном устройстве. По сути, все данные на пораженном устройстве могут быть доступны злоумышленнику.

Согласно краткому объяснению Google, первым шагом для каждой пострадавшей компании является замена (или ротация) ключей, чтобы больше не использовать те, которые были слиты.

Кроме того, Google также призвал всех производителей Android радикально снизить частоту использования ключа платформы для подписи других приложений. Во избежание потенциальных проблем с безопасностью подписывать таким образом следует только те приложения, которым необходим самый высокий уровень разрешений.

Google утверждает, что с момента сообщения о проблеме в мае 2022 года Samsung и все остальные затронутые компании уже "приняли меры по исправлению ситуации, чтобы минимизировать влияние на пользователей". Неизвестно, какие текущие устройства Android, если таковые имеются, все еще уязвимы для этого эксплойта.