PT-2021-13367 · Google · Android

Publicado 2021-12-01 · Atualizado 2021-12-17 · CVE-2021-0952

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.0

Média

Vetor base

AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Android 9 a 12

Descrição

O problema está relacionado a uma possível contornamento de permissões devido a um “confused deputy” na função doCropPhoto do arquivo PhotoSelectionHandler.java. Isso poderia levar à divulgação local de informações dos contatos do usuário sem a necessidade de privilégios de execução adicionais. É necessária a interação do usuário para a exploração da vulnerabilidade.

Recomendações

Para as versões do Android 9 a 12, atualize para uma versão que inclua uma correção para este problema, já que não há solução alternativa específica disponível para essas versões.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Identificadores relacionados

ASB-A-195748381

CVE-2021-0952

Produtos afetados

Android

Referências · 4

• https://source.android.com/security/bulletin/2021-12-01 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-0952 · Aviso do Fabricante
• https://osv.dev/vulnerability/ASB-A-195748381 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-0952 · Nota de Segurança