Leafpad: Exportierte Android-Komponente erlaubt Schreiben von Notizen ohne Berechtigung
Leafpad für Android in Version 1.21 exportiert eine Activity, die keine Berechtigung erfordert. Jede auf demselben Gerät installierte App kann Text an diese Activity senden, und dieser Text wird ohne Benutzerinteraktion als neue Notiz in der Datenbank der App gespeichert. Der Melder hat dies mit einer Test-App demonstriert, und die eingeschleusten Notizen blieben nach einem Neustart erhalten. Der NVD-Wert von 9.1 setzt einen Netzwerkangriff voraus, während eine andere Quelle den Angriff als lokal einstuft; das tatsächliche Risiko ist daher umstritten.
Marcus Radisch · Leafpad
