Уязвимость удаленного выполнения кода (RCE) существует в MIUI, собственном внедрении Xiaomi операционной системы Android, в версиях до Глобальных Стабильных 7.2 MIUI.

Уязвимость проживает в компоненте аналитики MIUI, который различное использование приложений для Android собрать данные о способе, которым их применение используется на устройстве пользователя.

По данным команды Разведки безопасности IBM, у этого компонента есть механизм самообновления, который может угоняться через MitM (Человек в середине) нападение и использоваться, чтобы поставить злонамеренные пакеты обновления.

Компонент аналитики MIUI использует основанный на HTTP механизм самообновления

Поскольку модуль аналитики не проверяет загруженный пакет и вслепую выполняет его, у нападавшего есть возможность выполнить их код в контексте и с разрешений очень привилегированного СИСТЕМНОГО пользователя Android.

Техническая сторона проблемы полагается на то, что пакет аналитики использует HTTP, чтобы подвергнуть сомнению сервер обновления для обновлений, и затем загружает пакет, также через HTTP. Нападавший может наблюдать за запросами обновления и использовать основные высмеивающие методы, ответ от имени сервера с поддельным ответом.

Этот ответ содержит связи с файлом APK, который пакет аналитики должен загрузить и выполнить. Поскольку компонент аналитики не участвует ни в каком типе шифровальной проверки загруженного пакета, или сервера от того, где это принесло файл, нападение тривиально, чтобы выполнить для опытного актера угрозы.

Миллионы устройств Xiaomi возможно затронуты

Многие Android, iOS и приложения программного обеспечения, установленного на компьютере были подвергнуты в последние месяцы для того, чтобы не использовать HTTPS, чтобы поставить обновления. В случае Xiaomi ситуация опасна, потому что компания - третий по величине производитель смартфонов в мире позади Samsung и Apple.

Компания отправила более чем 70 миллионов устройств только в 2015 одних, который мог теперь рискнуть быть угнанным, если пользователь не обновляет к новой версии OS.

IBM заявляет, что определила уязвимые пакеты аналитики по крайней мере в четырех приложениях по умолчанию, которым предоставляют распределения Xiaomi MIUI, одного из них являющийся приложением браузера по умолчанию.

Исследователи сообщили Xiaomi проблемы это в прошлом январе, и компания быстро обеспечила новое обновление MIUI, которое обратилось к уязвимости.