PT-2022-17938 · Pax A930+1 · Pax A930+1

Wr3Nchsr · Publicado 2022-12-16 · Atualizado 2024-10-27 · CVE-2022-26579

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.0

Média

Vetor base

AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H

Nome do software vulnerável e versões afetadas

Dispositivo PAX A930 com versões do PayDroid 7.1.1 Virgo V04.3.26T1 20210419 a 7.1.1 Virgo V04.4.02 20211201

Descrição

A vulnerabilidade permite que um invasor com privilégios de root instale pacotes não assinados no dispositivo. Para explorar essa vulnerabilidade, o invasor deve ter acesso ao shell do dispositivo e obter privilégios de root. Isso pode ser feito copiando o APK para /data/app, definindo as permissões apropriadas e reiniciando o dispositivo.

Recomendações

Para a versão 7.1.1 Virgo V04.3.26T1 20210419 do PayDroid, considere restringir o acesso ao shell do dispositivo para impedir que invasores obtenham privilégios de root.

Para a versão 7.1.1 Virgo V04.4.02 20211201 do PayDroid, evite usar o recurso de instalação de pacotes do dispositivo até que uma correção esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Insufficient Verification of Data Authenticity

Enumeração de Fraquezas

CWE-345

Identificadores relacionados

CVE-2022-26579

Produtos afetados

Pax A930

Paydroid

Referências · 9

• 🔥❌ https://github.com/wr3nchsr/PAX-Paydroid-Advisories/blob/master/advisories/2022/CVEs/CVE-2022-26579.md · Exploit, Deleted
• https://cyshield.com/e077d6c3-adff-49a1-afc3-71e10140f95c · Nota
• https://t.me/cvenotify/77767 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-26579 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-26579 · Nota de Segurança
• https://t.me/cvenotify/45227 · Publicação no Telegram
• https://t.me/cibsecurity/54785 · Publicação no Telegram
• https://wr3nchsr.github.io/pax-paydroid-vulnerabilities-advisory-2022 · Nota
• https://t.me/cvenotify/99647 · Publicação no Telegram