PT-2022-26447 · Unknown · Openharmony

CVE-2022-42464 · Publicado 2022-10-14 · Atualizado 2022-10-18

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões 3.1.2 e anteriores do OpenHarmony

Versões 3.0.6 e anteriores do OpenHarmony

Descrição

O problema está relacionado a uma vulnerabilidade de substituição do pool de memória do kernel no driver de dispositivo /dev/mmz userdev. O impacto depende dos privilégios do invasor. Um processo sem privilégios poderia divulgar informações confidenciais, incluindo ponteiros do kernel, que poderiam ser usados em ataques posteriores. Processos com UID de usuário do sistema poderiam mapear (mmap) pools de memória usados pelo kernel e substituí-los, potencialmente obtendo execução de código do kernel, privilégios de root ou causando a reinicialização do dispositivo.

Recomendações

Para as versões 3.1.2 e anteriores do OpenHarmony, considere restringir o acesso ao driver de dispositivo /dev/mmz userdev para minimizar o risco de exploração.

Para as versões 3.0.6 e anteriores do OpenHarmony, considere restringir o acesso ao driver de dispositivo /dev/mmz userdev para minimizar o risco de exploração.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Incorrect Default Permissions

Enumeração de Fraquezas

CWE-276

Identificadores relacionados

CVE-2022-42464

Produtos afetados

Openharmony

Referências · 4

• https://osv.dev/vulnerability/CVE-2022-42464 · Aviso do Fabricante
• https://gitee.com/openharmony/security/blob/master/en/security-disclosure/2022/2022-10.md · Aviso do Fabricante
• https://t.me/cibsecurity/51432 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-42464 · Nota de Segurança