PT-2021-13239 · Google · Android

Publicado 2021-09-01 · Atualizado 2021-10-08 · CVE-2021-0598

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Versões do Android de Android-8.1 a Android-11

Descrição:

O problema está relacionado a um possível emparelhamento de dispositivos Bluetooth não confiáveis devido a um ataque de tapjacking/overlay no arquivo ConfirmConnectActivity.java. Isso pode levar à escalada de privilégios local, sendo necessários privilégios de execução do usuário. É necessária a interação do usuário para a exploração.

Recomendações:

Para as versões do Android de Android-8.1 a Android-11, considere desativar a funcionalidade de emparelhamento Bluetooth no ConfirmConnectActivity.java até que uma correção esteja disponível. Restrinja o acesso ao módulo ConfirmConnectActivity.java para minimizar o risco de exploração. Evite usar dispositivos Bluetooth não confiáveis para prevenir possíveis problemas de emparelhamento. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Clickjacking

Enumeração de Fraquezas

CWE-1021

Identificadores relacionados

ASB-A-180422108

CVE-2021-0598

Produtos afetados

Android

Referências · 7

• https://osv.dev/vulnerability/ASB-A-180422108 · Aviso do Fabricante
• https://android.googlesource.com/platform/packages/apps/Nfc/+/e08056f8eafdc98e2db27b9936e61225b5e1ea7d · Nota
• https://t.me/cibsecurity/30048 · Publicação no Telegram
• https://source.android.com/security/bulletin/2021-09-01 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-0598 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-0598 · Aviso do Fabricante
• https://android.googlesource.com/platform/packages/apps/Nfc/+/fd697c56b7795a7f0cf50cac55db71a60d5bd357 · Nota