PT-2021-3655 · Google · Android

Publicado 2021-06-01 · Atualizado 2021-06-23 · CVE-2021-0517

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Android: Android-11

Descrição

O problema está relacionado a um erro de lógica na função updateCapabilities do arquivo ConnectivityService.java, o que pode levar a uma determinação incorreta do estado da rede. Isso poderia fazer com que tarefas de rede fossem direcionadas para ocorrer em redes que não sejam VPN, permitindo potencialmente que um invasor remoto divulgasse informações confidenciais sem a necessidade de privilégios de execução adicionais. Não é necessária a interação do usuário para a exploração.

Recomendações

Para a versão Android-11, considere restringir o acesso à função updateCapabilities do ConnectivityService.java para minimizar o risco de exploração até que um patch esteja disponível. Como solução alternativa temporária, revise e ajuste as configurações de rede para garantir que tarefas confidenciais sejam roteadas por redes VPN quando necessário.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

CWE-670

Identificadores relacionados

ASB-A-179053823

BDU:2021-03881

CVE-2021-0517

Produtos afetados

Android

Referências · 7

• https://source.android.com/security/bulletin/2021-06-01 · Aviso do Fabricante
• https://osv.dev/vulnerability/ASB-A-179053823 · Aviso do Fabricante
• https://android.googlesource.com/platform/frameworks/base/+/5b90ebaf4d9edefcd9648b46cd0226f882169476 · Nota
• https://osv.dev/vulnerability/CVE-2021-0517 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-0517 · Nota de Segurança
• https://bdu.fstec.ru/vul/2021-03881 · Nota de Segurança
• https://vuldb.com/?id.177309 · Nota