Dispositivos Android Xiaomi atingidos por múltiplas falhas em aplicativos e componentes do sistema
Várias vulnerabilidades de segurança foram divulgadas em vários aplicativos e componentes do sistema em dispositivos Xiaomi rodando Android.
“As vulnerabilidades na Xiaomi levaram ao acesso a atividades arbitrárias, receptores e serviços com privilégios de sistema, roubo de arquivos arbitrários com privilégios de sistema, (e) divulgação de telefone, configurações e dados da conta Xiaomi”, disse a empresa de segurança móvel Oversecured em um relatório compartilhado. com The Hacker Information.
As 20 deficiências afetam diferentes aplicativos e componentes como –
- Galeria (com.miui.gallery)
- GetApps (com.xiaomi.mipicks)
- Mi Vídeo (com.miui.videoplayer)
- MIUI Bluetooth (com.xiaomi.bluetooth)
- Serviços telefônicos (com.android.telephone)
- Spooler de impressão (com.android.printspooler)
- Segurança (com.miui.securitycenter)
- Componente principal de segurança (com.miui.securitycore)
- Configurações (com.android.settings)
- ShareMe (com.xiaomi.midrop)
- Rastreamento do sistema (com.android.traceur) e
- Xiaomi Cloud (com.miui.cloudservice)
Algumas das falhas notáveis incluem um bug de injeção de comando shell que afeta o aplicativo System Tracing e falhas no aplicativo Configurações que podem permitir o roubo de arquivos arbitrários, bem como vazar informações sobre dispositivos Bluetooth, redes Wi-Fi conectadas e contatos de emergência.
É importante notar que, embora os serviços telefônicos, o spooler de impressão, as configurações e o rastreamento do sistema sejam componentes legítimos do Android Open Supply Venture (AOSP), eles foram modificados pelo fabricante chinês de aparelhos para incorporar funcionalidades adicionais, levando a essas falhas.
Também foi descoberta uma falha de corrupção de memória que afeta o aplicativo GetApps, que, por sua vez, se origina de uma biblioteca Android chamada LiveEventBus que Oversecured disse ter sido relatada aos mantenedores do projeto há mais de um ano e permanece sem correção até o momento.
Descobriu-se que o aplicativo Mi Video usa intenções implícitas para enviar informações da conta Xiaomi, como nome de usuário e endereço de e-mail por meio de transmissões, que podem ser interceptadas por qualquer aplicativo de terceiros instalado nos dispositivos usando seus próprios receptores de transmissão.
Oversecured disse que os problemas foram relatados à Xiaomi dentro de um período de cinco dias, de 25 a 30 de abril de 2024. Os usuários são aconselhados a aplicar as atualizações mais recentes para mitigar ameaças potenciais.
