Die Tailscale-Android-App mit versionCode 297862600 stellt einen Broadcast-Empfänger ohne Berechtigungs- oder Absenderprüfung bereit. Eine lokal installierte App ohne Berechtigungen kann einen Broadcast senden, der die Exit-Node-Einstellung, die Einstellung für den LAN-Zugriff oder den Verbindungszustand des VPN ändert. Der Exit-Node muss bereits im Netzwerkverzeichnis des Opfers vorhanden sein, und das Verbinden kann auf einem frischen Profil eine Zustimmung des Systems zur VPN-Verbindung erfordern. Der CVE-Eintrag beschreibt das Problem nur als unsichere Berechtigungen; der CVSS-Wert 9.1 und die CWE-732 stammen von NVD und konnten zum Zeitpunkt der Recherche nicht auf NVD bestätigt werden.
Tailscale · Android app
Die Nextcloud-Android-App (com.nextcloud.client) enthält eine exponierte Activity ohne Berechtigungsschutz. Eine bösartige App auf demselben Telefon, die keine Berechtigungen besitzt, kann einen manipulierten Login-Deep-Link senden, der ein Konto erstellt und als aktuelles Konto setzt, sodass die App des Opfers auf ein vom Angreifer kontrolliertes Server-Profil wechselt. Der Angreifer muss den im Link genannten Server kontrollieren, und es ist keine Benutzerinteraktion nötig. Der NVD-Eintrag und der netzwerkbasierte CVSS-Vektor sind nicht bestätigt, und die Drittanbieter-Advisory beschreibt einen lokalen Angriff, weshalb die Schweregrad-Bewertung umstritten ist.
Nextcloud · Android client
Shelter versionCode 445 (F-Droid-Version 1.9.1) exportiert eine Activity, die Intents von beliebigen Apps ohne Berechtigung annimmt. Laut einem Drittanbieter-Advisory kann eine lokale App ohne Berechtigungen auf einer nie registrierten Shelter-Instanz einen eigenen auth_key hinterlegen und danach den Binder-Dienst der App nutzen sowie den Präferenzstatus ändern. Sobald ein Schlüssel registriert ist, wird der gespeicherte Schlüssel verlangt, weshalb das Hauptrisiko bei der Ersteinrichtung liegt. Der NVD-Score von 9.8 setzt Netzwerkzugriff voraus, was das Advisory nicht bestätigt; das Risiko sollte daher als Bedrohung durch andere Apps auf demselben Gerät behandelt werden.
PeterCxy · Shelter
AndBible, eine Offline-Bibelstudien-App für Android, ist von einem Problem in versionCode 1111 betroffen, das die Ausführung beliebigen Codes erlaubt. Ein Angreifer kann dies ausnutzen, indem er einen Benutzer dazu bringt, eine manipulierte Modul-ZIP-Datei hochzuladen. Der CVE-Eintrag lässt offen, ob über den Upload hinaus eine Benutzerinteraktion nötig ist, und Authentifizierung wird nicht erwähnt. Der CVSS-Wert 9.8 und die CWE-Klassifikation in den CVE-Daten konnten nicht gegen NVD verifiziert werden.
AndBible · AndBible: Bible Study
Die Komponente io.file.importer.ImportActivity von OpenTracks versionCode 6751 verfügt über unsichere Berechtigungen. Ein Angreifer kann über eine manipulierte SEND-Nachricht manipulierte Tracking-Daten in die Standortdatenbank der App einschleusen. Der CVE-Eintrag nennt CVSS 9.1, die Bewertung und der Angriffsvektor sind jedoch durch keine andere Quelle bestätigt, und der Advisory-Text konnte nicht direkt gelesen werden.
OpenTracks Team · OpenTracks
neutriNote CE für Android, versionCode 1387, weist unsichere Berechtigungen in der Autosave-Komponente auf. Laut dem verlinkten Drittanbieter-Advisory könnte eine App ohne Berechtigungen eine exportierte Activity starten und die App dazu bringen, vom Angreifer gewählten Inhalt in eine für die App zugängliche Datei-URI zu schreiben. Der CVE-Eintrag besagt, dass nicht autorisierte Angreifer beliebige Dateien schreiben können, doch die Voraussetzungen und der tatsächliche Angriffspfad sind nicht bestätigt. Der im Advisory angegebene CVSS-Angriffsvektor (Netzwerk) ist umstritten, und die Quellen zeigen nicht, dass die Schwachstelle aus der Ferne erreichbar ist.
AppML · neutriNote CE
Librera Reader für Android (versionCode 7222) exportiert eine Activity, die andere Apps ohne jegliche Berechtigung aufrufen können. Eine aufrufende App kann einen präparierten Dateinamen übergeben, mit dem der Reader Dateien im gemeinsamen Speicher ausserhalb seiner Sandbox schreibt und kürzt. Es ist keine Benutzerinteraktion nötig, und laut Advisory setzt das Schreiben ausserhalb des Download-Ordners zusätzlich voraus, dass der Opfer-App der Vollzugriff auf Dateien (All files access) gewährt wurde.
foobnix · Librera Reader
Die AIDL-Schnittstelle des Android-Zusatzmoduls MAXS Module FileRead (versionCode 27) weist unsichere Berechtigungen auf. Ein nicht autorisierter Angreifer kann über einen absoluten Pfad beliebige Dateien ausserhalb der App-Sandbox lesen. Der CVSS-3.1-Basiswert 7.5 stammt von NVD; VulDB bewertet die Lücke mit 5.3 und beschränkt die Auswirkung auf die Vertraulichkeit, der erforderliche Zugriffsweg ist unklar.
ProjectMAXS · MAXS Module FileRead
AndFHEM 2.4.1, ein Android-Client für den FHEM-Heimautomationsserver, exportiert zwei Komponenten ohne Berechtigungsprüfung. Jede auf demselben Gerät installierte App kann Befehle an den konfigurierten FHEM-Server senden, und zwar mit den gespeicherten Zugangsdaten des Benutzers. Der Angriff erfordert keine Benutzerinteraktion, setzt jedoch voraus, dass das Opfer einen FHEM-Server konfiguriert hat.
klassm · AndFHEM
RetroArch für Android (com.retroarch) Version 1.22.2 exportiert eine Activity, die von einer anderen App einen Dateipfad entgegennimmt und die Datei als native Bibliothek lädt. Eine lokal installierte App ohne jegliche Berechtigungen kann RetroArch daher dazu bringen, vom Angreifer bereitgestellten Code zu kopieren und zu laden, der mit der UID und den Rechten von RetroArch ausgeführt wird. Der offizielle CVE-Eintrag bewertet die Ausnutzung als mit einem Proof of Concept möglich und automatisierbar, die NVD-Analyse ist jedoch noch ausstehend und der CVSS-Wert 9.8 ist von der NVD noch nicht bestätigt.
libretro · RetroArch
Ein Problem in Forkyz, einer inoffiziellen Kreuzworträtsel-App für Android, Version 8500000 (Version 85), erlaubt einem Angreifer, die Speichereinstellungen eines anderen Benutzers über einen speziell erstellten URI-String zu ändern. Die Voraussetzungen für die Ausnutzung sind nicht vollständig bestätigt, und unklar ist, wessen Speicher betroffen ist. Der NVD-Score von 7.5 ist nicht verifiziert und widerspricht dem VulDB-Score von 3.5 (Niedrig).
Forkyz · Forkyz
Motion UI für Android (app.motionui.android), versionCode 101, stellt eine Activity ohne Berechtigungsprüfung anderen Apps auf demselben Gerät zur Verfügung. Eine lokal installierte App kann diese dazu bringen, eine vom Angreifer gewählte URL in einer WebView zu laden; dabei werden die gespeicherten Benutzernamen und Passwörter des Opfers in die Seite eingefügt und automatisch übermittelt. Der Angreifer kann so die Zugangsdaten empfangen und Skripte innerhalb der WebView ausführen. Die NVD-Beschreibung spricht stattdessen von Remote Code Execution über einen manipulierten POST-Request; das Primärадvisory bestätigt dies nicht, daher ist die CVSS-Bewertung 9.8 der NVD mit Vorsicht zu betrachten.
MotionCreative · Motion UI
GPSLogger Version 137 für Android weist unsichere Berechtigungen auf, die es nicht autorisierten Angreifern erlauben, den Logging-Mechanismus der App und die protokollierten Daten zu manipulieren. Laut dem Advisory eines Drittanbieters kann jede App ohne Berechtigungen eine exportierte Activity starten, worauf GPSLogger ein Profil von einer vom Angreifer gewählten URL herunterlädt und aktiviert. Dadurch kann das Ziel der Hochladevorgänge umgeleitet werden. Das Opfer muss der App bereits den Standortzugriff erlaubt haben. Der CVSS-Vektor setzt einen Netzwerkzugriff voraus, während VulDB lokalen Zugriff angibt; der tatsächliche Angriffspfad muss daher überprüft werden.
mendhak · GPSLogger
Recherche und Übersetzung laufen – in Kürze hier.
Citrine, eine Nostr-Relay-App für Android, stellt ihre Nostr-Ereignisdatenbank über einen Content Provider bereit, dessen Leseberechtigung nur auf normaler Schutzstufe steht. Jede App auf demselben Gerät, die diese Berechtigung besitzt, kann die gespeicherten Ereignisse lesen, einschliesslich Direktnachrichten und an den Benutzer adressierte Gift-Wrap-Ereignisse, indem sie einen öffentlichen Schlüssel als nicht authentifizierten URI-Parameter übergibt. Der NVD-Eintrag nennt CVSS 9.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N), andere Quellen stufen die Bewertung tiefer ein und bestreiten den Angriffsvektor Netzwerk, daher hängt das reale Risiko davon ab, ob andere Apps auf dem Gerät den Provider erreichen können.
greenart7c3 · Citrine
MAXS Main, eine Android-App für die Fernsteuerung über XMPP, weist in Version 0.5.19 unsichere Berechtigungen in seinem Befehls- und Transportmechanismus auf. Gemäss CVE-Beschreibung kann ein nicht autorisierter Angreifer diesen Mechanismus manipulieren. Die öffentlichen Beschreibungen erläutern nicht, wie ein Angreifer die App über das Netzwerk erreicht, daher sind die genauen Bedingungen unklar. Eine Korrektur, eine Ausnutzung oder ein öffentlicher Exploit ist nicht bekannt, und der Score von 7.5 ist nicht bestätigt.
ProjectMAXS · MAXS Main
CodeCatcher Version 131 für Android exportiert eine Activity ohne Berechtigungsschutz. Jede installierte App ohne Laufzeitberechtigungen kann ihr die DEBUG-Aktion senden, wodurch eine im Auslieferungszustand deaktivierte Debug-Komponente dauerhaft aktiviert wird. Der Angreifer kann danach die interne Debug-Oberfläche öffnen, die die Logs der App anzeigt, einschliesslich der Logs des SMS-Code-Erfassungsdienstes. Eine Benutzerinteraktion ist nicht erforderlich.
CNSYN · CodeCatcher
Recherche und Übersetzung laufen – in Kürze hier.
In der lmadmin-Weboberfläche von FlexNet Publisher, einer Lizenzverwaltungssoftware für Lizenzserver, besteht eine Remote Code Execution-Schwachstelle. Ein Angreifer mit hohen Privilegien auf der lmadmin-Oberfläche kann Code auf dem Server ausführen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der CVSS-Vektor setzt keine Benutzerinteraktion voraus, der Angreifer benötigt jedoch administrativen Zugriff auf die Oberfläche, weshalb die Erreichbarkeit der Weboberfläche das praktische Risiko bestimmt.
Flexera · FlexNet Publisher
Eine Use-after-free-Schwachstelle (CWE-416) in Microsoft Edge (Chromium-based) ermöglicht einem nicht autorisierten Angreifer laut CNA-Eintrag eine Rechteausweitung über das Netzwerk. Der Angriff erfordert eine Benutzerinteraktion, zum Beispiel das Öffnen einer manipulierten Webseite. Der CVSS-3.1-Basiswert ist 8.8 (hoch), und die Analyse durch NVD ist noch ausstehend.
Microsoft · Edge (Chromium-based)
Ein heap-basierter Pufferüberlauf (CWE-122) in Microsoft Edge (Chromium-based) erlaubt einem entfernten Angreifer ohne Berechtigungen, Code auszuführen. Das Opfer muss eine Aktion ausführen, etwa eine manipulierte oder kompromittierte Webseite aufrufen. Der CVSS-Basiswert beträgt 8.8 (hoch), die korrigierte Version ist jedoch noch nicht bestätigt.
Microsoft · Microsoft Edge (Chromium-based)
Ein Heap-basierter Pufferüberlauf (CWE-122) in Microsoft Edge (Chromium-basiert) ermöglicht einem nicht authentifizierten Angreifer aus dem Netzwerk, Code auszuführen. Der CVSS-Basiswert beträgt 8.8 (hoch). Für die Ausnutzung muss ein Benutzer dazu gebracht werden, zu interagieren, etwa indem er eine manipulierte Webseite öffnet. Die CISA-SSVC-Bewertung lautet Exploitation: none und Automatable: no.
Microsoft · Edge (Chromium-based)
Microsoft Edge (Chromium-based) enthält eine Umgehung einer Sicherheitsfunktion, die auf eine unvollständige Liste unzulässiger Eingaben (CWE-184) zurückzuführen ist. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann eine Sicherheitsfunktion des Browsers umgehen. Voraussetzung ist, dass ein Benutzer eine bösartige oder präparierte Webseite aufruft. Microsoft stuft die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch ein.
Microsoft · Edge (Chromium-based)
Eine Use-after-free-Schwachstelle (CWE-416) in Microsoft Edge erlaubt einem nicht autorisierten Angreifer, über ein Netzwerk Code auszuführen. Die Beschreibung verweist zusätzlich auf Edge für iOS, während als betroffene Produkte das Chromium-basierte Edge aufgeführt ist. Der CNA bewertet das Problem mit CVSS 3.1 8.8 und hoher Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit, und für die Ausnutzung muss ein Benutzer eine bösartige Seite besuchen oder eine ähnliche Aktion ausführen, benötigt aber keine Berechtigungen. VulDB bewertet das Problem tiefer (6.3), weshalb die Schweregrad-Einstufung zwischen den Quellen uneinheitlich ist.
Microsoft · Edge
Eine Type-Confusion-Schwachstelle (CWE-843) in Microsoft Edge (Chromium-based) erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Informationen offenzulegen. Es ist eine Benutzerinteraktion erforderlich, daher muss das Opfer manipulierte Webinhalte öffnen, etwa über einen Link in einer E-Mail oder Nachricht. Nur die Vertraulichkeit ist betroffen, mit hoher Auswirkung, und da der Scope verändert ist, kann sich die Wirkung über den Browser hinaus erstrecken.
Microsoft · Edge (Chromium-based)
