Google、設定内に隠された秘密のブラウザーを保有

• Androidアプリの「アカウントを管理」ポップアップで秘密のブラウザーが見つかりました。対象には設定アプリやGoogle Workspaceアプリが含まれます。
• ユーザーは「アカウントを管理」ポップアップのセキュリティタブ内で一連の手順を踏むことで、このブラウザーにアクセスできます。
• このブラウザーには履歴がなく、セッションが終了するとGoogleアカウントから自動的にログアウトされます。
• ただし、このブラウザーにはアドレスバーがなく、戻るボタンを押すとパスワード管理設定に戻ります。
• このブラウザーには危険な機能があり、悪意のあるWebサイトがユーザーに支払いを促すためのローカル暗号化キーを設定するのに使える2つの方法が含まれています。
• このブラウザーは、Googleが「意図された動作」と判断したペアレンタルコントロールを回避します。
• このブラウザーを発見した人物はGoogleに報告しましたが、Googleはこれをセキュリティ脆弱性として分類しませんでした。

[wedding]

パスワード管理に入ると、なんだかワンテンポ遅い感じがしていたけど……気のせいじゃなかったのかもしれませんね

[GN⁺]

Hacker Newsの意見

• GoogleのAndroid設定アプリで「アカウントの管理」をクリックすると、Google Play開発者サービスに組み込まれたアクティビティへ移動し、最終的に隠しブラウザへつながる。
• このブラウザはデフォルトのシステムWebView実装を使っているのではなく、addJavascriptInterface を使ってAndroidコードとJavaScriptコードの間にJSインターフェースを構築するカスタム実装を使っている。
• MagicArchChallengeView インターフェースは大半が空で、いくつかの別の難読化されたクラスへつながる bwuz クラスに接続されているようだ。
• qvc と pdn の2つのクラスは、setVaultSharedKeys や addEncryptionRecoveryMethod のようなアカウントセキュリティ関連の関数を公開している。
• この隠しブラウザは、さらに詳しく調べる価値のある興味深い攻撃ベクトルになり得る。
• 一部のコメント投稿者は、さまざまな設定やアプリケーションで隠しブラウザや回避策を見つけた自身の経験を共有している。
• あるコメント投稿者は、Googleにバグを報告したもののバグバウンティを拒否され、憤慨した体験を共有している。