PT-2024-12702 · Unknown · Com.Factory.Mmigroup
Publicado
2024-04-22
·
Atualizado
2024-10-25
·
CVE-2023-38297
CVSS v3.1
8.4
Alta
| Vetor | AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
com.factory.mmigroup versão 2.1
Descrição
Foi detectada uma falha no componente com.factory.mmigroup, fornecido em dispositivos de diversos fabricantes. Certas compilações de software para vários dispositivos Android contêm um aplicativo pré-instalado vulnerável que permite que aplicativos de terceiros locais realizem diversas ações devido a um controle de acesso inadequado. O aplicativo é executado como usuário do sistema, permitindo que ele interaja com o processador de banda base e execute ações confidenciais. Os seguintes recursos estão expostos a aplicativos de terceiros sem permissão em vários dispositivos: execução arbitrária de comandos AT por meio de injeção de comandos AT, redefinição de fábrica programática, vazamento de IMEI, vazamento de número de série, desligamento do dispositivo, ativação/desativação programática do modo avião e ativação de Wi-Fi, Bluetooth e GPS. Não são necessárias permissões ou privilégios especiais para explorar as vulnerabilidades, e nenhuma interação do usuário é exigida além da instalação e execução de um aplicativo de terceiros.
Recomendações
Como solução temporária, considere desativar o aplicativo com.factory.mmigroup até que uma correção esteja disponível.
Restrinja o acesso ao aplicativo com.factory.mmigroup para minimizar o risco de exploração.
Evite usar a intenção
com.factory.mmigroup/.MMIGroupReceiver até que o problema seja resolvido.No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Improper Access Control
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Com.Factory.Mmigroup