PT-2022-11081 · Google · Android

Publicado 2022-04-01 · Atualizado 2022-07-12 · CVE-2021-39808

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Android de Android-10 a Android-12

Descrição

O problema está relacionado à validação inadequada de entradas na função createNotificationChannelGroup do arquivo PreferencesHelper.java. Isso poderia permitir que um serviço fosse executado em primeiro plano sem notificar o usuário, levando potencialmente à escalada de privilégios local. Não são necessários privilégios de execução adicionais, e a interação do usuário não é exigida para a exploração.

Recomendações

Para as versões do Android de Android-10 a Android-12, considere restringir o uso da função createNotificationChannelGroup em PreferencesHelper.java até que uma correção adequada seja aplicada para impedir que serviços sejam executados em primeiro plano sem notificação ao usuário.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

ASB-A-209966086

CVE-2021-39808

Produtos afetados

Android

Referências · 5

• https://osv.dev/vulnerability/ASB-A-209966086 · Aviso do Fabricante
• https://source.android.com/security/bulletin/2022-04-01 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-39808 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-39808 · Aviso do Fabricante
• https://android.googlesource.com/platform/frameworks/base/+/45b4a71f5cc366c338c1ceb217a602960fd31401 · Nota