Уязвимость удаленного выполнения кода (RCE) существует в MIUI, собственном внедрении Xiaomi операционной системы Android, в версиях до Глобальных Стабильных 7.2 MIUI.
Уязвимость проживает в компоненте аналитики MIUI, который различное использование приложений для Android собрать данные о способе, которым их применение используется на устройстве пользователя.
По данным команды Разведки безопасности IBM, у этого компонента есть механизм самообновления, который может угоняться через MitM (Человек в середине) нападение и использоваться, чтобы поставить злонамеренные пакеты обновления.
Компонент аналитики MIUI использует основанный на HTTP механизм самообновления
Поскольку модуль аналитики не проверяет загруженный пакет и вслепую выполняет его, у нападавшего есть возможность выполнить их код в контексте и с разрешений очень привилегированного СИСТЕМНОГО пользователя Android.
Техническая сторона проблемы полагается на то, что пакет аналитики использует HTTP, чтобы подвергнуть сомнению сервер обновления для обновлений, и затем загружает пакет, также через HTTP. Нападавший может наблюдать за запросами обновления и использовать основные высмеивающие методы, ответ от имени сервера с поддельным ответом.
Этот ответ содержит связи с файлом APK, который пакет аналитики должен загрузить и выполнить. Поскольку компонент аналитики не участвует ни в каком типе шифровальной проверки загруженного пакета, или сервера от того, где это принесло файл, нападение тривиально, чтобы выполнить для опытного актера угрозы.
Миллионы устройств Xiaomi возможно затронуты
Многие Android, iOS и приложения программного обеспечения, установленного на компьютере были подвергнуты в последние месяцы для того, чтобы не использовать HTTPS, чтобы поставить обновления. В случае Xiaomi ситуация опасна, потому что компания - третий по величине производитель смартфонов в мире позади Samsung и Apple.
Компания отправила более чем 70 миллионов устройств только в 2015 одних, который мог теперь рискнуть быть угнанным, если пользователь не обновляет к новой версии OS.
IBM заявляет, что определила уязвимые пакеты аналитики по крайней мере в четырех приложениях по умолчанию, которым предоставляют распределения Xiaomi MIUI, одного из них являющийся приложением браузера по умолчанию.
Исследователи сообщили Xiaomi проблемы это в прошлом январе, и компания быстро обеспечила новое обновление MIUI, которое обратилось к уязвимости.