Vulnerabilidad en Android Nokia C200 y Nokia C100 (CVE-2023-38293)

Ciertas versiones de software para los dispositivos Android Nokia C200 y Nokia C100 contienen una aplicación vulnerable preinstalada con un nombre de paquete de com.tracfone.tfstatus (versionCode='31', versionName='12') que permite aplicaciones locales de terceros. ejecutar comandos AT arbitrarios en su contexto (usuario de radio) mediante la inyección de comandos AT debido a un control de acceso inadecuado y un filtrado de entrada inadecuado. No se necesitan permisos ni privilegios especiales para explotar la vulnerabilidad en la aplicación com.tracfone.tfstatus. No se requiere ninguna interacción del usuario más allá de instalar y ejecutar una aplicación de terceros. Las huellas digitales de compilación de software para cada dispositivo vulnerable confirmado son las siguientes: Nokia C200 (Nokia/Drake_02US/DRK:12/SP1A.210812.016/02US_1_080:user/release-keys and Nokia/Drake_02US/DRK:12/SP1A.210812.016/02US_1_040:user/release-keys) and Nokia C100 (Nokia/DrakeLite_02US/DKT:12/SP1A.210812.016/02US_1_270:user/release-keys, Nokia/DrakeLite_02US/DKT:12/SP1A.210812.016/02US_1_190:user/release-keys, Nokia/DrakeLite_02US/DKT:12/SP1A.210812.016/02US_1_130:user/release-keys, Nokia/DrakeLite_02US/DKT:12/SP1A.210812.016/02US_1_110:user/release-keys, Nokia/DrakeLite_02US/DKT:12/SP1A.210812.016/02US_1_080:user/release-keys, and Nokia/DrakeLite_02US/DKT:12/SP1A.210812.016/02US_1_050:user/release-keys). Esta aplicación maliciosa envía una intención de transmisión al componente receptor llamado com.tracfone.tfstatus/.TFStatus. Este receptor de transmisión extrae una cadena del Intent y la usa como extra cuando inicia el componente de actividad com.tracfone.tfstatus/.TFStatusActivity que usa la cadena controlada externamente como entrada para ejecutar un comando AT. Existen dos técnicas de inyección diferentes para inyectar con éxito comandos AT arbitrarios para ejecutar.