В платформе, используемой предустановленными приложениями Android System с миллионами загрузок, были обнаружены четыре уязвимости высокой степени серьезности.
Проблемы, которые в настоящее время исправлены израильским разработчиком MCE Systems, потенциально могли позволить злоумышленникам проводить удаленные и локальные атаки или использовать их в качестве векторов для получения конфиденциальной информации, используя свои обширные системные привилегии.
«Как и многие предустановленные приложения или приложения по умолчанию, с которыми в наши дни поставляется большинство устройств Android, некоторые из уязвимых приложений нельзя полностью удалить или отключить без получения root-доступа к устройству», — заявила исследовательская группа Microsoft 365 Defender. отчет, опубликованный в пятницу.
Уязвимости, которые варьируются от внедрения команд до локального повышения привилегий, были присвоены идентификаторы CVE-2021-42598, CVE-2021-42599, CVE-2021-42600 и CVE-2021-42601 с оценкой CVSS от 7,0 до 8.9.
Уязвимости были обнаружены и зарегистрированы в сентябре 2021 года, и нет никаких доказательств того, что недостатки используются в дикой природе.
Microsoft не раскрыла полный список приложений, использующих рассматриваемую уязвимую платформу, которая предназначена для предоставления механизмов самодиагностики для выявления и устранения проблем, влияющих на устройство Android.
Это также означало, что платформа имела широкие права доступа, в том числе права доступа к звуку, камере, питанию, местоположению, данным датчиков и хранилищу, для выполнения своих функций. В сочетании с проблемами, выявленными в службе, Microsoft заявила, что может позволить злоумышленнику внедрить постоянные бэкдоры и получить контроль.
Некоторые из затронутых приложений принадлежат крупным международным поставщикам мобильных услуг, таким как Telus, AT&T, Rogers, Freedom Mobile и Bell Canada.
Кроме того, Microsoft рекомендует пользователям обратить внимание на пакет приложения «com.mce.mceiotraceagent» — приложение, которое могло быть установлено мастерскими по ремонту мобильных телефонов — и удалить его с телефонов, если оно будет найдено.
Подверженные уязвимости приложения, хотя они и были предварительно установлены провайдерами телефонов, также доступны в магазине Google Play и, как утверждается, прошли автоматические проверки безопасности магазина приложений, не поднимая никаких красных флажков, поскольку процесс не был разработан для выявления этих проблем. , то, что с тех пор было исправлено.
