概要：MTSモバイルメールアプリケーションは、Samsung Social Hubアプリケーションの更新プロセスの一部として、Samsungデバイスのユーザーとは無関係に自発的にインストールされました。 両方のアプリケーションのパッケージ名が同じであることが判明したため、混乱が生じました。
猫の下で、このバグの原因となった更新スクリプトとパラメーターに関する詳細
Androidプラットフォームが最初に導入されたとき、シマンテックはいくつかのアップグレードシナリオを作成しようとしました。 その後の目標は、既存のアプリケーションを侵入者に置き換える場合にテストする必要のある必須フィールドを特定することでした。 したがって、Android用に開発されたアプリケーションには、パッケージ名と呼ばれる一意のソフトウェアパッケージ識別子が必要です。 ただし、これに加えて、Google Playを介してアプリケーションを更新するには、さらにいくつかの要素が必要です。
- 更新されたアプリケーションは、既存のコピーと同じ方法で署名する必要があります。
署名要件は、独立した開発者が同じパッケージ名をランダムに選択するという問題を解決する必要があります。 - 更新用のversionCodeおよびversionNameパラメーターには、既存のアプリケーションよりも大きな値が必要です。
- 悪意のあるコードによる特権の取得を制限するもう1つのマイルストーンは、Google Playの自動更新機能が、新しいアプリケーションが以前のバージョンよりも多くの権限を必要としない場合にのみ新しいバージョンをダウンロードすることです。
両方のアプリケーションは、同じパッケージ名「com.seven.Z7」を使用しました。 Samsung Social Hubは、一部のデバイスに最初にインストールされ、Google Playで公開されたことのないアプリケーションです。 同時に、Samsung Social Hubアプリケーションは、モバイルアプリケーションを開発している会社Sevenによって署名されています。
証明書：
データ：
バージョン：3（0x2）
シリアル番号：1235473566（0x49a3d49e）
署名アルゴリズム：sha1WithRSAEncryption
発行者：C = US、ST =カリフォルニア、L =レッドウッドシティ、O = 7つのネットワーク、OU = 7つのネットワーク、CN = 7つのネットワーク
有効性
以前：2月24日11:06:06 2009 GMT
終了後：7月12日11:06:06 2036 GMT
件名：C =米国、ST =カリフォルニア、L =レッドウッドシティ、O = 7つのネットワーク、OU = 7つのネットワーク、CN = 7つのネットワーク
ただし、同じパッケージ名を使用するだけでは、無関係な別のアプリケーションの更新にはなりません。 ただし、この場合、MTSアプリケーションの署名キーも一致しました。 アウトソーシングの開発者は、2つの製品（Samsung用とMTS用）のパッケージの名前だけでなく、誤って同じ署名を使用していました。
興味深いことに、シマンテックの記録によると、アプリ「com.sevenZ7」は2011年末からAndroidマーケットで利用可能になりました。 しかし、バージョン番号がSamsungアプリケーションのバージョンを超える値に達したため、問題が発生しました-これが更新の最後の重要な基準です。
Googleはすでにインシデントに対応しています。アプリケーションはGoogle Playからダウンロードできなくなりました。