PT-2024-5206 · Google · Android

CVE-2024-31320 · Publicado 2024-07-01 · Atualizado 2024-12-17

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas:

Versões do Android 12 a 12L

Descrição:

O problema está relacionado a erros no gerenciamento de privilégios, especificamente na função setSkipPrompt do arquivo AssociationRequest.java. Isso poderia permitir que um invasor estabelecesse uma associação com um dispositivo complementar sem confirmação, levando à escalada de privilégios local sem a necessidade de privilégios de execução adicionais. Não é necessária a interação do usuário para a exploração.

Recomendações:

Para as versões do Android 12 a 12L, atualize seu dispositivo para o nível de patch de segurança mais recente, especificamente 2024-07-05, que contém correções para todas as 25 vulnerabilidades, incluindo este problema. Como solução alternativa temporária, considere restringir o acesso ao componente vulnerável até que um patch esteja disponível.

Correção

Improper Access Control

Improper Privilege Management

Enumeração de Fraquezas

CWE-284

CWE-269

Identificadores relacionados

ASB-A-329230490

BDU:2024-05763

CVE-2024-31320

Produtos afetados

Android

Referências · 15

• https://android.googlesource.com/platform/frameworks/base/+/df49e0e3083b0707e2cca5a5956b49f14ded078e · Correção
• https://osv.dev/vulnerability/CVE-2024-31320 · Aviso do Fabricante
• https://t.me/zerodayalert/264 · Publicação no Telegram
• https://twitter.com/PathakCharu/status/1825767549180555350 · Publicação no Twitter
• https://android.googlesource.com/platform/frameworks/base/+/9722ce9d733edab76163fbcd21b231424e3d7061 · Correção
• https://source.android.com/security/bulletin/2024-07-01 · Aviso do Fabricante
• https://twitter.com/Gizchina/status/1808987070938898463 · Publicação no Twitter
• https://twitter.com/x_newstech/status/1808553562248564803 · Publicação no Twitter
• https://t.me/cvenotify/104597 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-31320 · Nota de Segurança
• https://osv.dev/vulnerability/ASB-A-329230490 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2024-05763 · Nota de Segurança
• https://twitter.com/Cybermaterial_/status/1808546485811790035 · Publicação no Twitter
• https://t.me/true_secator/5937 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1810944966035952013 · Publicação no Twitter