Vulnerabilidad en el dispositivo Android ASUS ZenFone 3 Max (CVE-2018-14979)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-200 Revelación de información

Fecha de publicación:

28/12/2018

Última modificación:

22/02/2019

Descripción

El dispositivo Android ASUS ZenFone 3 Max con una huella digital asus/US_Phone/ASUS_X008_1:7.0/NRD90M/US_Phone-14.14.1711.92-20171208:user/release-keys contiene una aplicación preinstalada, cuyo paquete se denomina com.asus.loguploader (versionCode=1570000275, versionName=7.0.0.55_170515). Esta app contiene un componente de app de servicio exportada llamado com.asus.loguploader.LogUploaderService que, al accederse a él con una cadena de acción determinada, escribirá un informe de errores (registro del kernel, registro logcat y el estado de los servicios del sistema, incluyendo el texto de las notificaciones activas), las contraseñas de wifi y otros datos del sistema en el almacenamiento externo (tarjeta SD). Cualquier app con el permiso READ_EXTERNAL_STORAGE en este dispositivo puede leer estos datos desde la tarjeta SD una vez han sido volcados ahí por com.asus.loguploader. Las aplicaciones de terceros no pueden crear directamente un informe de errores o acceder a las credenciales de red inalámbrica almacenadas del usuario.

Impacto

Vector 3.x

CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 4.70 MEDIA
Vector: CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): Local
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

4.70

Gravedad 3.x

MEDIA

Vector 2.0

AV:L/AC:M/Au:N/C:P/I:N/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 1.90 BAJA
Vector: AV:L/AC:M/Au:N/C:P/I:N/A:N

Vector de acceso (AV): Local
Complejidad de acceso (AC): Medio
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno