Разработчик Android-приложений Дилан Руссель (Dylan Roussel) обнаружил в магазине Huawei AppGallery ошибку, которая позволяет свободно получать доступ к платному ПО. Ошибка предположительно не исправлена по сей день, хотя компания знает о ней с середины февраля.
Источник изображения: huawei.com
Разбираясь с работой API платформы Huawei AppGallery, господин Руссель обнаружил некую функцию, которая в качестве исходных данных принимает название пакета и отдаёт JSON-объект, содержащий о нём подробную информацию, включая строку «url», в которой содержится адрес для скачивания приложения. Программист попробовал получать данные о бесплатных и платных приложениях и всегда получал адрес для скачивания, все приложения благополучно устанавливались — «фокус» не сработал только с одной платной игрой, которая при запуске проверяла лицензию.
О своём открытии господин Руссель сообщил Huawei электронным письмом ещё 17 февраля. Спустя пять часов он получил ответ, и после непродолжительного общения стороны сошлись на том, что программист не будет предавать инцидент огласки в ближайшие 5 недель. По истечении указанного срока ошибка так и не была исправлена, поэтому специалист повторил своё обращение 17 мая, в котором компания признала наличие уязвимости, присвоила ей номер и предложила Русселю денежное вознаграждение, от которого тот, впрочем, отказался. Однако об исправлении ошибки до сих пор не говорится ничего.