CVE-2024-1608

Privilege escalation w OPPO Usercenter Credit SDK — wyciek danych aplikacji

CVSS 9.1v3.1pub. 2024-02-20upd. 2025-04-02

Podatność w OPPO Usercenter Credit SDK umożliwia eskalację uprawnień (privilege escalation) z powodu zbyt luźnej weryfikacji uprawnień. Może prowadzić do wycieku wewnętrznych informacji aplikacji bez jakiejkolwiek interakcji użytkownika.

▸ Pokaż oryginał (EN)

In OPPO Usercenter Credit SDK, there's a possible escalation of privilege due to loose permission check, This could lead to application internal information leak w/o user interaction.

🤖 Analiza AI

Jak działa

Błąd wynika z nieprawidłowej weryfikacji uprawnień (CWE-280 — Improper Handling of Insufficient Permissions or Privileges). Mechanizm kontroli uprawnień w SDK jest na tyle słaby, że atakujący lub złośliwa aplikacja może uzyskać dostęp do zasobów i danych, które powinny być chronione. Podatność jest zdalnie wykorzystywalna (wektor sieciowy), nie wymaga interakcji użytkownika, choć wymaga uprawnień na poziomie wysokim (PR:H). Zakres ataku wykracza poza komponent, w którym występuje podatność (Scope: Changed).

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do wewnętrznych informacji aplikacji, co skutkuje naruszeniem poufności, integralności i dostępności danych. Podatność może prowadzić do ujawnienia wrażliwych danych przechowywanych przez SDK bez wiedzy i zgody użytkownika.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi na stronie OPPO Security (https://security.oppo.com/en/noticeDetail?notice_only_key=NOTICE-1759867611954552832). Zaleca się aktualizację SDK do wersji wskazanej przez producenta jako bezpieczna.