PT-2021-13069 · Google · Android

Publicado 2021-03-01 · Atualizado 2023-08-08 · CVE-2021-0391

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Versões do Android de Android-8.1 a Android-11

Descrição:

A vulnerabilidade permite que um invasor descubra a existência de uma conta sem as devidas permissões devido a um ataque de tapjacking/sobreposição. Isso pode levar à escalada de privilégios local, sendo necessários privilégios de execução de usuário. É necessária a interação do usuário para a exploração.

Recomendações:

Para as versões do Android de Android-8.1 a Android-11, considere restringir o acesso a informações confidenciais da conta para minimizar o risco de exploração. Como solução temporária, evite usar o método onCreate() em ChooseTypeAndAccountActivity.java até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Clickjacking

Enumeração de Fraquezas

CWE-1021

Identificadores relacionados

ASB-A-172841550

CVE-2021-0391

Produtos afetados

Android

Referências · 5

• https://android.googlesource.com/platform/frameworks/base/+/169f089a26b322b297e8b224e3a7274bc18a986a · Nota
• https://source.android.com/security/bulletin/2021-03-01 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-0391 · Aviso do Fabricante
• https://osv.dev/vulnerability/ASB-A-172841550 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-0391 · Nota de Segurança