CVE-2024-3701

Brak uwierzytelnienia w aplikacji systemowej Tecno HiOS (com.transsion.kolun.aiservice)

CVSS 9.8v3.1pub. 2024-04-15upd. 2025-06-17

Komponent aplikacji systemowej com.transsion.kolun.aiservice w systemie Tecno HiOS nie weryfikuje tożsamości wywołującego, co umożliwia nieuwierzytelnionemu atakującemu zdalne nadużycie usług systemowych. Podatność uzyskała ocenę CVSS 9.8 (CRITICAL), co czyni ją jednym z najpoważniejszych zagrożeń dla urządzeń tej marki.

▸ Pokaż oryginał (EN)

The system application (com.transsion.kolun.aiservice) component does not perform an authentication check, which allows attackers to perform malicious exploitations and affect system services.

🤖 Analiza AI

Jak działa

Komponent com.transsion.kolun.aiservice, będący częścią oprogramowania systemowego urządzeń Tecno HiOS, nie implementuje mechanizmu uwierzytelniania (CWE-306) ani weryfikacji tożsamości (CWE-287) przed obsługą żądań. Oznacza to, że każda aplikacja lub zewnętrzny podmiot zdolny do komunikacji z tym komponentem może go wywołać bez żadnych uprawnień. Atakujący może w ten sposób wchodzić w interakcję z usługami systemowymi i wykonywać złośliwe operacje, które normalnie wymagałyby stosownych uprawnień.

Skutki

Atakujący bez żadnych uprawnień i bez interakcji użytkownika może zdalnie wykonywać złośliwe działania na usługach systemowych urządzenia, potencjalnie uzyskując pełny dostęp do poufnych danych, modyfikując stan systemu lub powodując jego destabilizację (wysoka poufność, integralność i dostępność według wektora CVSS).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — aktualizacje zabezpieczeń publikowane są przez Tecno Security Response Center pod adresem https://security.tecno.com/SRC/securityUpdates?type=SA. Zaleca się jak najszybsze wgranie dostępnych aktualizacji oprogramowania systemowego urządzeń Tecno.

Kogo dotyczy

Urządzenia z systemem Tecno HiOS zawierające komponent aplikacji systemowej com.transsion.kolun.aiservice; szczegółowe wersje wskazane w referencjach producenta.