PT-2021-13395 · Google · Android

Publicado 2021-12-15 · Atualizado 2021-12-17 · CVE-2021-0990

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.3

Baixa

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Android: Android-12

Descrição

Na função getDeviceId do arquivo PhoneSubInfoController.java, existe uma possibilidade de determinar se um aplicativo está instalado sem a necessidade de solicitar permissões, devido à divulgação de informações por canal lateral. Isso pode levar à divulgação de informações locais sem a necessidade de privilégios de execução adicionais. Não é necessária a interação do usuário para a exploração.

Recomendações

Para a versão Android-12, considere restringir o acesso à função getDeviceId em PhoneSubInfoController.java para minimizar o risco de exploração. Como solução temporária, evite usar a função getDeviceId até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Side Channel Attack

Enumeração de Fraquezas

CWE-203

Identificadores relacionados

CVE-2021-0990

Produtos afetados

Android

Referências · 4

• https://osv.dev/vulnerability/CVE-2021-0990 · Aviso do Fabricante
• https://t.me/cvenotify/24601 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-0990 · Nota de Segurança
• https://source.android.com/security/bulletin/pixel/2021-12-01 · Aviso do Fabricante