PT-2021-13156 · Google · Android

Publicado 2021-06-01 · Atualizado 2021-06-22 · CVE-2021-0506

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Versões do Android de Android-8.1 a Android-11

Descrição:

O problema está relacionado a uma possível contornamento da interação do usuário na resolução de intents devido a um ataque de tapjacking/overlay no ActivityPicker.java. Isso poderia levar à escalada local de privilégios, sendo necessários privilégios de execução do usuário. A interação do usuário é necessária para a exploração.

Recomendações:

Para as versões do Android de Android-8.1 a Android-11, considere restringir o uso do componente ActivityPicker.java para minimizar o risco de exploração até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Clickjacking

Enumeração de Fraquezas

CWE-1021

Identificadores relacionados

ASB-A-181962311

CVE-2021-0506

Produtos afetados

Android

Referências · 6

• https://nvd.nist.gov/vuln/detail/CVE-2021-0506 · Nota de Segurança
• https://source.android.com/security/bulletin/2021-06-01 · Aviso do Fabricante
• https://t.me/cvenotify/16701 · Publicação no Telegram
• https://android.googlesource.com/platform/packages/apps/Settings/+/ceb2e28da4f29954fbf6b6c2f10678458ef4a288 · Nota
• https://osv.dev/vulnerability/CVE-2021-0506 · Aviso do Fabricante
• https://osv.dev/vulnerability/ASB-A-181962311 · Aviso do Fabricante