Microsoft обнаружила критические ошибки в установленных приложениях для Android

В платформе, используемой предустановленными приложениями Android System с миллионами загрузок, были обнаружены четыре уязвимости высокой степени серьезности.

Проблемы, которые в настоящее время исправлены израильским разработчиком MCE Systems, потенциально могли позволить злоумышленникам проводить удаленные и локальные атаки или использовать их в качестве векторов для получения конфиденциальной информации, используя свои обширные системные привилегии.

«Как и многие предустановленные приложения или приложения по умолчанию, с которыми в наши дни поставляется большинство устройств Android, некоторые из уязвимых приложений нельзя полностью удалить или отключить без получения root-доступа к устройству», — заявила исследовательская группа Microsoft 365 Defender. отчет, опубликованный в пятницу.

Уязвимости, которые варьируются от внедрения команд до локального повышения привилегий, были присвоены идентификаторы CVE-2021-42598, CVE-2021-42599, CVE-2021-42600 и CVE-2021-42601 с оценкой CVSS от 7,0 до 8.9.

Уязвимости были обнаружены и зарегистрированы в сентябре 2021 года, и нет никаких доказательств того, что недостатки используются в дикой природе.

Microsoft не раскрыла полный список приложений, использующих рассматриваемую уязвимую платформу, которая предназначена для предоставления механизмов самодиагностики для выявления и устранения проблем, влияющих на устройство Android.

Это также означало, что платформа имела широкие права доступа, в том числе права доступа к звуку, камере, питанию, местоположению, данным датчиков и хранилищу, для выполнения своих функций. В сочетании с проблемами, выявленными в службе, Microsoft заявила, что может позволить злоумышленнику внедрить постоянные бэкдоры и получить контроль.

Некоторые из затронутых приложений принадлежат крупным международным поставщикам мобильных услуг, таким как Telus, AT&T, Rogers, Freedom Mobile и Bell Canada.

Кроме того, Microsoft рекомендует пользователям обратить внимание на пакет приложения «com.mce.mceiotraceagent» — приложение, которое могло быть установлено мастерскими по ремонту мобильных телефонов — и удалить его с телефонов, если оно будет найдено.

Подверженные уязвимости приложения, хотя они и были предварительно установлены провайдерами телефонов, также доступны в магазине Google Play и, как утверждается, прошли автоматические проверки безопасности магазина приложений, не поднимая никаких красных флажков, поскольку процесс не был разработан для выявления этих проблем. , то, что с тех пор было исправлено.