PT-2020-6162 · Andy · Andyos Andy

Maciej Miszczyk · Publicado 2020-04-14 · Atualizado 2020-08-24 · CVE-2019-14326

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do AndyOS Andy até a 46.11.113

Descrição

Uma falha no AndyOS Andy permite que invasores remotos obtenham acesso total ao dispositivo ou que aplicativos maliciosos realizem escalonamento de privilégios até o nível de root. Isso ocorre porque os serviços telnet e ssh são iniciados com privilégios de root por padrão no sistema Android emulado, sem que seja necessária autenticação para acessar um shell de root.

Recomendações

Para as versões do AndyOS Andy até 46.11.113, considere desativar os serviços telnet e ssh para impedir a exploração até que uma correção esteja disponível. Restrinja o acesso ao sistema Android emulado para minimizar o risco de escalonamento de privilégios. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Incorrect Default Permissions

Enumeração de Fraquezas

CWE-276

Identificadores relacionados

BDU:2021-03299

CVE-2019-14326

Produtos afetados

Andyos Andy

Referências · 8

• 🔥 https://github.com/seqred-s-a/cve-2019-14326 · Exploit
• 🔥 https://seqred.pl/en/cve-privilege-escalation-in-andy · Exploit
• 🔥❌ https://github.com/seqred-sa/cve-2019-14326 · Exploit, Deleted
• https://t.me/cibsecurity/11236 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2019-14326 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2019-14326 · Nota de Segurança
• https://bdu.fstec.ru/vul/2021-03299 · Nota de Segurança
• https://t.me/cvenotify/2717 · Publicação no Telegram