PT-2022-14380 · Google · Android

CVE-2022-20144 · Publicado 2022-06-15 · Atualizado 2023-02-23

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Android de Android-10 a Android-11

Descrição

O problema está relacionado a um “confused deputy” em várias funções do arquivo AvatarPhotoController.java, o que poderia permitir o acesso a conteúdos pertencentes a provedores de conteúdo do sistema. Isso pode levar à escalada de privilégios local sem a necessidade de privilégios de execução adicionais. Não é necessária a interação do usuário para a exploração.

Recomendações

Para as versões do Android de Android-10 a Android-11, aplique a correção fornecida pelo patch de segurança do Android para resolver o problema.

Correção

Identificadores relacionados

ASB-A-187702830

CVE-2022-20144

Produtos afetados

Android

Referências · 7

• https://source.android.com/security/bulletin/2022-12-01 · Nota
• https://android.googlesource.com/platform/frameworks/base/+/b76141eb2bace631aabe4c6b55630e7b219044b1 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-20144 · Nota de Segurança
• https://osv.dev/vulnerability/ASB-A-187702830 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-20144 · Aviso do Fabricante
• https://android.googlesource.com/platform/packages/apps/EmergencyInfo/+/5981e18eb50c54088dc29f8a1e1dc8efdd4bb887 · Nota
• https://source.android.com/security/bulletin/aaos/2022-12-01 · Aviso do Fabricante