CVE-2016-2428
KrytyczneStreszczenie
W libAACdec w mediaserver w systemie Android przed wersją 4.4.4, 5.0.2, 5.1.1 oraz przed 1 maja 2016 roku nie ograniczono prawidłowo liczby wątków, co pozwala zdalnym atakującym na wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez spreparowany plik multimedialny.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa systemu oraz danych użytkowników.
Rekomendacja
Zaleca się aktualizację systemu Android do najnowszej wersji, aby usunąć tę podatność oraz ograniczyć ryzyko związane z atakami zdalnymi.
Oryginalny opis (angielski, źródło NVD)
libAACdec/src/aacdec_drc.cpp in mediaserver in Android 4.x before 4.4.4, 5.0.x before 5.0.2, 5.1.x before 5.1.1, and 6.x before 2016-05-01 does not properly limit the number of threads, which allows remote attackers to execute arbitrary code or cause a denial of service (stack memory corruption) via a crafted media file, aka internal bug 26751339.