CVE-2020-8913

Versões da Google Play Core Library anteriores à 1.7.2

Existe uma vulnerabilidade de execução de código arbitrário local no endpoint SplitCompat.install da Play Core Library do Android. Isso permite que um invasor mal-intencionado crie um apk direcionado a um aplicativo específico, o que pode levar à traversal de diretórios, à execução de código como o aplicativo alvo e ao acesso aos dados desse aplicativo no dispositivo Android. Estima-se que a vulnerabilidade afete aproximadamente 13% dos aplicativos Android, com cerca de 8% ainda utilizando a biblioteca vulnerável. Isso pode colocar milhões de usuários em risco de ataques de injeção de código, como a interceptação da autenticação de dois fatores via SMS em aplicativos bancários ou o acesso a conversas privadas em aplicativos de mensagens.

Atualize o Play Core para a versão 1.7.2 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint SplitCompat.install até que um patch esteja disponível. Evite usar a biblioteca vulnerável em aplicativos até que o problema seja resolvido. Para aplicativos que utilizam a Google Play Core Library, certifique-se de que todas as atualizações sejam instaladas a partir de fontes confiáveis para minimizar o risco de exploração.