Уязвимость функции createSessionInternal модуля PackageInstallerService.java операционной системы Android связана с отсутствием экранирования специальных символов в имени пакета установщика при записи в /data/system/packages.list. Эксплуатация уязвимости может позволить нарушителю получить доступ к базе данных произвольного приложения с помощью специально сформированного мобильного приложения, имеющего доступ к инструменту Android Debug Bridge.
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- установка мобильных приложений из доверенных источников;
- отключение на устройстве возможности отладки по USB;
- использование антивирусного программного обеспечения для отслеживания попыток эксплуатации уязвимости.
Использование рекомендаций производителя:
https://source.android.com/docs/security/bulletin/2024-03-01?hl=ru
| Балл | 7.2 — высокая опасность |