Μια ομάδα ερευνητών από το πανεπιστήμιο της Ιντιάνα και από τη Microsoft ανακοίνωσαν μία πιθανή τρύπα ασφαλείας μεγάλης κλίμακας του Android που βρίσκεται στη διαδικασία αναβάθμισης του λειτουργικού.
Κατά την αναβάθμιση του λειτουργικού, το Android σβήνει και γράφει χιλιάδες αρχεία με πολλά από αυτά να έχουν διαφορετικά δικαιώματα στο file system. Ένα bug με την ονομασία “Pileup” μπορεί να επιτρέψει επιβλαβής εφαρμογές να μπουν κρυφά και να αντικαταστήσουν update files.
Η αναφορά της έρευνας μας λέει:
” Το πακέτο που έχει δημιουργήσει τρίτος, το οποίο φέρει την ίδια ονομασία με αρχείο συστήματος, μπορεί να εισχωρήσει στο λειτουργικό κατά την διάρκεια του update, όπου όλες οι εφαρμογές γίνονται install και uninstall και οι ρυθμίσεις μηδενίζονται. Επίσης όταν δύο εφαρμογές από παλιά και νέα συστήματα ενοποιούνται όπως περιγράψαμε παραπάνω, δημιουργείται κίνδυνος ασφαλείας ώστε να εγκατασταθούν κακόβουλες εφαρμογές”
Προς το παρόν δεν υπάρχει τρόπος αντιμετώπισης και επιτήδειοι μπορούν να εγκαταστήσουν κακόβουλο JavaScript κώδικα σε εφαρμογές και να αποκτήσουν πρόσβαση σε πληροφορίες του χρήστη.
Η ομάδα ανακάλυψε έξι Pileup bug τα οποία παρουσιάζονται σε όλες τις εκδόσεις του Android Open Source Project και σε 3500 custom ROMs από κατασκευαστές συσκευών. Υπολογίζεται ότι 1 δισεκατομμύριο συσκευές επηρεάζονται από αυτό το πρόβλημα. Φυσικά η Google εργάζεται στη λύση του.
