CVE-2016-10139
WysokieStreszczenie
Na urządzeniach BLU R1 HD z oprogramowaniem Shanghai Adups odkryto problem związany z aplikacjami com.adups.fota i com.adups.fota.sysoper. Aplikacja com.adups.fota.sysoper działa jako użytkownik systemowy, co przyznaje jej szereg uprawnień, w tym dostęp do dziennika połączeń, wiadomości tekstowych oraz identyfikatorów urządzenia.
Ocena ryzyka
Ryzyko związane z tą podatnością polega na nieautoryzowanym dostępie do danych osobowych użytkowników, co może prowadzić do naruszenia prywatności i wycieku danych. W przypadku eksfiltracji danych, użytkownicy mogą stracić kontrolę nad swoimi informacjami osobistymi.
Rekomendacja
Zaleca się usunięcie lub zaktualizowanie aplikacji com.adups.fota i com.adups.fota.sysoper, aby zminimalizować ryzyko eksfiltracji danych. Należy również monitorować urządzenia pod kątem nieautoryzowanych aplikacji i uprawnień.
Inne podatności w BLU R1 HD devices with Shanghai Adups software
Zobacz wszystkie- CVE-2016-10137Wysokie
Na urządzeniach BLU R1 HD z oprogramowaniem Shanghai Adups odkryto problem, który pozwala aplikacjom na dostęp do plików jako użytkownik systemowy. Aplikacja com.adups.fota.sysoper umożliwia innym aplikacjom odczyt, zapis i usuwanie plików, w tym wiadomości tekstowych i dziennika połączeń użytkownika.
- CVE-2016-10136Wysokie
W urządzeniach BLU R1 HD z oprogramowaniem Shanghai Adups odkryto problem, który pozwala aplikacjom na dostęp do plików jako użytkownik systemowy. Aplikacja com.adups.fota.sysoper ustawia atrybut android:sharedUserId na android.uid.system, co umożliwia innym aplikacjom odczyt, zapis i usuwanie plików systemowych.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered on BLU R1 HD devices with Shanghai Adups software. The two package names involved in the exfiltration are com.adups.fota and com.adups.fota.sysoper. In the com.adups.fota.sysoper app's AndroidManifest.xml file, it sets the android:sharedUserId attribute to a value of android.uid.system which makes it execute as the system user, which is a very privileged user on the device. Therefore, the app executing as the system user has been granted a number of powerful permissions even though they are not present in the com.adups.fota.sysoper app's AndroidManifest.xml file. This app provides the com.adups.fota app access to the user's call log, text messages, and various device identifiers through the com.adups.fota.sysoper.provider.InfoProvider component. The com.adups.fota app uses timestamps when it runs and is eligible to exfiltrate the user's PII every 72 hours. If 72 hours have passed since the value of the timestamp, then the exfiltration will be triggered by the us