Разработчик Дилан Руссель обнаружил уязвимость в Huawei AppGallery, которая позволяет скачивать платные игры и приложения полностью бесплатно. Об этом он написал в своём блоге.

Дилан решил разобраться, как работает API магазина приложений, для чего создал свой API, который возвращает JSON-файл с деталями приложения. В качестве теста он выбрал бесплатное приложение — и в файле была прямая ссылка на скачивание. Ответ сервера выглядит следующим образом:

К его удивлению, такой же метод сработал и для платного софта, и он решил проверить магазин приложений на безопасность — приложения, как он считал, должны быть как-то защищены. 

Ссылка на скачивание дополнительной защитой не обременялась, и загружаемый файл был с правильным хэшем SHA-256. Никакого API, встроенного в приложения, также не обнаружено — софт без каких-либо проблем устанавливался и работал на устройстве.

Для чистоты эксперимента он скачал два приложения и одну игру — на случай, если в первом тестируемом приложении была какая-то ошибка. Но и приложения, и игра работали так, будто были куплены.

17 февраля 2022 года Руссель написал Huawei и объяснил, в чём заключается уязвимость. Компания ответила, что будет расследовать проблему и попросила Дилана не раскрывать баг. Сейчас, спустя три месяца с того момента, Huawei не устранила уязвимость, но признала её.