BDU:2022-04121

Уязвимость параметра categoryId компонента WebView системы управления жизненным циклом мобильных устройств MCE Systems, позволяющая нарушителю повысить свои привилегии

Опубликовано: 2022-07-06

Описание

Уязвимость параметра categoryId компонента WebView системы управления жизненным циклом мобильных устройств MCE Systems связана с ошибками обработки ссылок перед доступом к файлу и десериализацией структуры PendingDynamicLinkData из массива байтов Intent Extra с ключом com.google.firebase.dynamiclinks.DYNAMIC_LINK_DATA. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии путем внедрения вредоносного кода

Затрагиваемое ПО и версии

MCE SystemsMobile Klinik Device CheckupDevice HelpMyRogersFreedom Device CareDevice Content Transfer

Способ устранения

Рекомендуется обновить затронутые мобильные приложения до последних версий

Оценка CVSS

Балл	7.2 — высокая опасность

Источники и патчи

https://mce.systems/case-study-quickly-and-effectively-mitigating-security-vulnerabilities-in-a-multiplayer-telco-environment/https://xakep.ru/2022/05/30/mce-systems-bugs/https://www.microsoft.com/security/blog/2022/05/27/android-apps-with-millions-of-downloads-exposed-to-high-severity-vulnerabilities/https://www.bleepingcomputer.com/news/security/microsoft-finds-severe-bugs-in-android-apps-from-large-mobile-providers/

Проверьте безопасность своего сайта и почты → Полная проверка домена