PT-2022-17939 · Pax · Paydroid+1

Wr3Nchsr · Publicado 2022-12-16 · Atualizado 2024-10-28 · CVE-2022-26580

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.8

Média

Vetor base

AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Dispositivo PAX A930 com versões do PayDroid de 7.1.1 Virgo V04.3.26T1 20210419 a 7.1.1 Virgo V04.4.02 20211201

Descrição

A vulnerabilidade permite a execução de injeções de comandos específicos em binários selecionados no serviço de shell do daemon ADB. Um invasor precisa ter acesso físico via USB ao dispositivo para explorar essa vulnerabilidade.

Recomendações

Para o dispositivo PAX A930 com a versão PayDroid 7.1.1 Virgo V04.3.26T1 20210419, considere restringir o acesso físico via USB para minimizar o risco de exploração.

Para dispositivos PAX A930 com a versão 7.1.1 Virgo V04.4.02 20211201 do PayDroid, considere restringir o acesso físico via USB para minimizar o risco de exploração.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2022-26580

Produtos afetados

Pax A930

Paydroid

Referências · 9

• 🔥❌ https://github.com/wr3nchsr/PAX-Paydroid-Advisories/blob/master/advisories/2022/CVEs/CVE-2022-26580.md · Exploit, Deleted
• https://cyshield.com/e077d6c3-adff-49a1-afc3-71e10140f95c · Nota
• https://osv.dev/vulnerability/CVE-2022-26580 · Aviso do Fabricante
• https://t.me/cvenotify/77768 · Publicação no Telegram
• https://t.me/cibsecurity/54789 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-26580 · Nota de Segurança
• https://t.me/cvenotify/45226 · Publicação no Telegram
• https://wr3nchsr.github.io/pax-paydroid-vulnerabilities-advisory-2022 · Nota
• https://t.me/cvenotify/99798 · Publicação no Telegram