PT-2022-1358 · Google+1 · Android+1

Publicado 2022-04-01 · Atualizado 2022-04-20 · CVE-2021-39796

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Android de Android-10 a Android-12L

Descrição

A vulnerabilidade permite que um invasor induza uma vítima a instalar um aplicativo malicioso por meio de um ataque de tapjacking/sobreposição na atividade HarmfulAppWarningActivity. Isso pode levar à escalada de privilégios local, exigindo privilégios de execução de usuário e interação do usuário para a exploração.

Recomendações

Para as versões do Android de Android-10 a Android-12L, considere restringir o acesso ao HarmfulAppWarningActivity até que uma correção esteja disponível.

Como solução alternativa temporária, evite interagir com avisos de aplicativos suspeitos para minimizar o risco de exploração.

Correção

Clickjacking

Enumeração de Fraquezas

CWE-1021

Identificadores relacionados

ASB-A-205595291

CVE-2021-39796

Produtos afetados

Android

Debian

Referências · 10

• https://ubuntu.com/security/CVE-2021-39796 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-39796 · Aviso do Fabricante
• https://source.android.com/security/bulletin/2022-04-01 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-39796 · Nota de Segurança
• https://cve.org/CVERecord?id=CVE-2021-39796 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2021-39796 · Aviso do Fabricante
• https://osv.dev/vulnerability/ASB-A-205595291 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-39796 · Aviso do Fabricante
• https://android.googlesource.com/platform/frameworks/base/+/e74a2a320bf896bc30618ce486203bafe453c469 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2021-39796 · Aviso do Fabricante