PT-2021-13138 · Google · Android

Publicado 2021-10-01 · Atualizado 2021-10-26 · CVE-2021-0483

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Versões do Android de Android-10 a Android-11

Descrição:

Em vários métodos do AAudioService, existe uma possível vulnerabilidade do tipo “use-after-free” devido a uma condição de corrida. Isso pode levar à escalada local de privilégios, sendo necessários privilégios de execução de usuário. Não é necessária a interação do usuário para a exploração.

Recomendações:

Para as versões do Android de Android-10 a Android-11, considere restringir o acesso ao AAudioService até que uma correção esteja disponível.

Como solução temporária, considere desativar os métodos afetados do AAudioService para minimizar o risco de exploração.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Race Condition

Use After Free

Enumeração de Fraquezas

CWE-362

CWE-416

Identificadores relacionados

ASB-A-153358911

CVE-2021-0483

Produtos afetados

Android

Referências · 7

• https://source.android.com/security/bulletin/2021-10-01 · Aviso do Fabricante
• https://android.googlesource.com/platform/frameworks/av/+/cc2165840d524bb9553f9d73d1904633d20100a2 · Nota
• https://t.me/cibsecurity/31046 · Publicação no Telegram
• https://osv.dev/vulnerability/ASB-A-153358911 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-0483 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-0483 · Aviso do Fabricante
• https://android.googlesource.com/platform/frameworks/av/+/084077feb6b8c961adcbe77b2bd76601ca54e534 · Nota