Из-за наложенных ранее на Huawei санкций США, все новые телефоны компании потеряли поддержку сервисов Google. Поэтому Huawei пришлось заняться разработкой собственного магазина программного обеспечения и вспомогательных услуг Huawei Mobile Services (HMS) для использования на своих же мобильных телефонах. Компания инвестировала достаточно много ресурсов в собственный магазин приложений AppGallery, над пополнением которого трудятся около трёх миллионов разработчиков, и продолжает увеличивать эти инвестиции.
Конечно же, магазин приложений AppGallery не только продвигает программное обеспечение, но и генерирует доход от платных игр. Теперь же этот доход оказался под угрозой: разработчик Дилан Рассел при изучении API магазина AppGallery обнаружил уязвимость, которая позволяет пользователям загружать платные приложения бесплатно. Она заключается в том, что Huawei возвращает ссылку для загрузки APK для бесплатных и платных приложений (соответствующих запросам данных), при этом базовые API Huawei AppGallery не обеспечивают никакой защиты для платных приложений.
В ходе тестирования Дилан Рассел обнаружил, что пользователям не нужно платить за конкретное приложение или даже входить в свою учетную запись, чтобы получить действительную ссылку для загрузки платного приложения. Он сказал, что эта уязвимость может помочь другим с лёгкостью пиратить приложения без каких-либо проблем с их последующими установкой и использованием.
Чтобы убедиться, что это не проблема проверки лицензии для приложения, разработчик также повторил процесс для нескольких приложений. Все результаты показывают, что и другие приложения реагируют так же, подтверждая, что эта уязвимость именно со стороны Huawei.
Впервые Дилан Рассел обнаружил эту уязвимость в феврале этого года, а затем связался с Huawei для обратной связи. Согласно отраслевым правилам, он дал Huawei 5 недель, чтобы устранить эту уязвимость, и компания признала, что такая проблема действительно существует. Тринадцать недель спустя разработчик решил обнародовать открытие, в то время как Huawei до сих пор не опубликовала отчёт о том, была ли уязвимость исправлена, или же, когда планируется её исправить.
