Vulnerabilidad en el dispositivo Android Leagoo Z5C (CVE-2018-14986)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-200 Revelación de información

Fecha de publicación:

28/12/2018

Última modificación:

14/02/2019

Descripción

El dispositivo Android Leagoo Z5C con una huella digital sp7731c_1h10_32v4_bird:6.0/MRA58K/android.20170629.214736:user/release-keys contiene una aplicación preinstalada, cuyo paquete se denomina com.android.messaging (versionCode=1000110, versionName=1.0.001, (android.20170630.092853-0)) con un proveedor de contenidos exportado llamado com.android.messaging.datamodel.MessagingContentProvider. Cualquier app que esté en el dispositivo puede leer el mensaje de texto más reciente de cada conversación. En otras palabras, para cada número de teléfono al que el usuario haya enviado o recibido un mensaje de texto, una aplicación de terceros sin permisos puede obtener el cuerpo del mensaje de texto, el número de teléfono, el nombre del contacto (si existe) y una marca de tiempo para el mensaje de texto más reciente de cada conversación. Como la consulta del componente de la app de provisión de contenidos puede realizarse silenciosamente en segundo plano, una app maliciosa puede monitorizar continuamente el proveedor de contenidos para comprobar si el mensaje actual en cada conversación ha cambiado para obtener nuevos mensajes de texto.

Impacto

Vector 3.x

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

7.50

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:L/Au:N/C:P/I:N/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 5.00 MEDIA
Vector: AV:N/AC:L/Au:N/C:P/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno