CVE-2023-39403

Błąd weryfikacji parametrów w module installd — nieautoryzowany dostęp do plików sandbox

CVSS 9.1v3.1pub. 2023-08-13upd. 2024-11-21

Podatność w module installd systemów Huawei EMUI i HarmonyOS umożliwia nieautoryzowany odczyt i zapis plików w obszarze sandbox. Wysoki wynik CVSS 9.1 wynika z możliwości zdalnego wykorzystania bez uwierzytelnienia i bez interakcji użytkownika.

▸ Pokaż oryginał (EN)

Parameter verification vulnerability in the installd module. Successful exploitation of this vulnerability may cause sandbox files to be read and written without authorization.

🤖 Analiza AI

Jak działa

Moduł installd nie przeprowadza prawidłowej weryfikacji parametrów wejściowych, co stanowi naruszenie mechanizmów kontroli dostępu (CWE-285, CWE-358). Atakujący może dostarczyć spreparowane parametry, które ominną ograniczenia sandbox i umożliwią nieautoryzowane operacje na plikach chronionych obszarów systemu. Wektor sieciowy (AV:N) i brak wymagań co do uprawnień (PR:N) sprawiają, że atak może zostać przeprowadzony zdalnie bez posiadania konta w systemie.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do odczytu oraz zapisu plików przechowywanych w obszarach sandbox, co może prowadzić do wycieku wrażliwych danych aplikacji oraz modyfikacji chronionych zasobów systemowych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — biuletyn bezpieczeństwa Huawei z sierpnia 2023 r. dostępny pod adresami: https://consumer.huawei.com/en/support/bulletin/2023/8/ oraz https://device.harmonyos.com/en/docs/security/update/security-bulletins-202308-0000001667644725

Kogo dotyczy

Urządzenia z systemem Huawei EMUI oraz HarmonyOS — dokładne wersje wskazane w referencjach producenta (biuletyn bezpieczeństwa Huawei za sierpień 2023)