CVE-2018-9388

Błąd znajduje się w funkcjach store_upgrade i store_cmd pliku drivers/input/touchscreen/stm/ftm4_pdc.c. Z powodu braku sprawdzania granic danych wejściowych oraz możliwości wystąpienia integer underflow (CWE-191), dochodzi do zapisu poza dozwolonym obszarem pamięci (out-of-bounds write, CWE-787). Atakujący może dostarczyć odpowiednio spreparowane dane wejściowe do podsystemu obsługi ekranu dotykowego, wywołując tym samym zapis w nieautoryzowanym obszarze pamięci jądra.

Udane wykorzystanie podatności może prowadzić do eskalacji uprawnień (privilege escalation) — atakujący może uzyskać podwyższone uprawnienia na urządzeniu, potencjalnie do poziomu jądra systemu operacyjnego.

Należy zastosować patche dostępne u producenta zgodnie z referencjami — biuletyn bezpieczeństwa Google Pixel z dnia 2018-06-01 (https://source.android.com/security/bulletin/pixel/2018-06-01).

Urządzenia z systemem Google Android wyposażone w sterownik ekranu dotykowego STM FTM4 (ftm4_pdc); szczegółowe wersje systemu wskazane w referencjach producenta (biuletyn bezpieczeństwa Pixel, czerwiec 2018).

Podatność została pierwotnie ujęta w biuletynie bezpieczeństwa Google Pixel z czerwca 2018 roku, natomiast jej publiczny wpis CVE został opublikowany w grudniu 2024 roku. Dotyczy wyłącznie urządzeń z określonym sprzętowym sterownikiem ekranu dotykowego STM FTM4.