Миллионы устройств Google оказались уязвимы к взлому из-за предустановленного ПО

Этот недостаток позволяет приложению удаленно выполнять код и устанавливать пакеты без должных мер безопасности. Приложение, разработанное Smith Micro и являющееся частью образа прошивки, подключается к файлу конфигурации по незащищенному протоколу HTTP, что делает устройства уязвимыми для атак типа MITM. Злоумышленники могут использовать эту слабость для внедрения вредоносного кода, получения контроля на системном уровне и «потенциального совершения киберпреступлений», пишут исследователи.

Хотя приложение не включено по умолчанию, его можно активировать различными способами, включая физический доступ к устройству. Уязвимость возникает из-за «неадекватных процессов аутентификации и верификации при получении файла конфигурации», что позволяет злоумышленникам обойти проверки безопасности.

Google признала проблему, заявив, что это не недостаток системы Android или Pixel, а скорее «проблема со сторонним приложением». Компания планирует устранить уязвимость, удалив приложение со всех поддерживаемых устройств Pixel через предстоящее обновление.