PT-2020-11795

CVE-2020-0454

·

Publicado

2020-11-01

·

Atualizado

2022-04-26

Descrição por

CVSS 3.1
5.5
Média
MétricasAV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Nome do software vulnerável e versões afetadas
Android versão 9
Descrição
Na função callCallbackForRequest do arquivo ConnectivityService.java, a ausência de uma verificação de permissão pode levar à contornamento dessa permissão. Esse problema pode resultar na divulgação local de informações do SSID atual, exigindo privilégios de execução do usuário. Não é necessária nenhuma interação do usuário para a exploração.
Recomendações
Para o Android versão 9, considere restringir o acesso à função callCallbackForRequest em ConnectivityService.java até que uma correção esteja disponível. Como solução temporária, revise e ajuste as configurações de permissão para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-862: Missing Authorization
Identificadores relacionados
CVE-2020-0454
ASB-A-161370134
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com