📚 Google Android Qualcomm pin Controller Driver Application erweiterte Rechte

🕛 Zeit seit Veröffentlichung: 2529 Tage, 21 Stunden 59 Minuten
📆 Veröffentlicht am: 12.05.2017 um 00:00 Uhr
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: vuldb.com

In Google Android - eine genaue Versionsangabe ist nicht möglich - wurde eine Schwachstelle entdeckt. Sie wurde als kritisch eingestuft. Dabei geht es um eine unbekannte Funktion der Komponente Qualcomm pin Controller Driver. Durch Beeinflussen durch Application kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-269. Mit Auswirkungen muss man rechnen für Vertraulichkeit, Integrität und Verfügbarkeit.

Die Schwachstelle wurde am 12.05.2017 an die Öffentlichkeit getragen. Bereitgestellt wird das Advisory unter source.android.com. Eine eindeutige Identifikation der Schwachstelle wird seit dem 29.11.2016 mit CVE-2017-0619 vorgenommen. Die Umsetzung des Angriffs hat dabei lokal zu erfolgen. Zur Ausnutzung ist eine einfache Authentisierung erforderlich. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt. Es muss davon ausgegangen werden, dass ein Exploit zur Zeit etwa USD $5k-$25k kostet (Preisberechnung vom 05/13/2017). Es kann davon ausgegangen werden, dass sich die Exploit-Preise für dieses Produkt in Zukunft steigend verhalten werden.

Die Schwachstelle lässt sich durch das Einspielen eines Patches beheben.

Schwachstellen ähnlicher Art sind dokumentiert unter 100815, 101104, 101105 und 101106.

CVSSv3

VulDB Base Score: 7.8
VulDB Temp Score: 7.5
VulDB Vector: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:X/RL:O/RC:X
VulDB Zuverlässigkeit: High

CVSSv2

VulDB Base Score: 6.6 (CVSS2#AV:L/AC:M/Au:S/C:C/I:C/A:C)
VulDB Temp Score: 5.7 (CVSS2#E:ND/RL:OF/RC:ND)
VulDB Zuverlässigkeit: High

CPE

• cpe:/o:google:android

Exploiting

Klasse: Erweiterte Rechte (CWE-269)
Lokal: Ja
Remote: Nein

Verfügbarkeit: Nein

Preisentwicklung: gleichbleibend
Aktuelle Preisschätzung: $0-$5k (0-day) / $0-$5k (Heute)

Gegenmassnahmen

Empfehlung: Patch
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden

Timeline

29.11.2016 CVE zugewiesen
12.05.2017 Advisory veröffentlicht
13.05.2017 VulDB Eintrag erstellt
13.05.2017 VulDB letzte Aktualisierung

Quellen

Advisory: source.android.com

CVE: CVE-2017-0619 (mitre.org) (nvd.nist.org) (cvedetails.com)
Siehe auch: 100815, 101104, 101105, 101106, 101107, 101108, 101109, 101110, 101111, 101112, 101113, 101114, 101115, 101116

Eintrag

Erstellt: 13.05.2017
Aktualisierung: 13.05.2017
Eintrag: 70.8% komplett
...