HMS推送服务安全漏洞

Question

我们的安全团队发现 Push Kit 库中存在不安全的功能，想知道它是否会在即将发布的版本中得到修复，或者它会保留，我们必须接受风险，或者是否可以进行任何定制来克服安全问题：

意图验证不当 (CWE-925)、应用程序权限 (MSTG-PLATFORM-1)

我们正在使用以下 sdk 版本：

implementation 'com.huawei.hms:hwid:5.0.1.300'

implementation 'com.huawei.hms:push:5.0.2.300'

以下是详细信息：

服务：com.huawei.hms.support.api.push.service.HmsMsgService

SDK清单文件中的服务存在如下：

<service android:name="com.huawei.hms.support.api.push.service.HmsMsgService" android:enabled="true" android:exported="true" android:process=":pushservice" android:directBootAware="true">

<intent-filter>

<action android:name="com.huawei.push.msg.NOTIFY_MSG" />

<action android:name="com.huawei.push.msg.PASSBY_MSG" />

</intent-filter>

</service>

这意味着该服务被发现与设备上的其他应用程序共享，因此设备上的任何其他应用程序都可以访问它。

所以，我们需要您的支持来添加protectionLevel: signatureOrSystem 或通过受保护的权限android:permission="PermissionName" 保护它。

非常感谢任何反馈。

Answer 1

经相关团队确认，HmsMsgService对HMS开放。 HMS启动后会进行包名校验等校验。另外，该服务不是华为手机的消息接收模块，需要对HMS开放，HMS不能提前为应用设置权限。另外，服务有两层验证，源包名验证和HMS签名验证，没有安全隐患。

因此，HmsMsgService 不会被其他应用程序使用，也不会引起安全问题。该服务无需添加protectionLevel: signatureOrSystem或android:permission="permissionName"，不存在安全隐患。请放心使用。