CVE-2016-10139 in R1 HD
Zusammenfassung
von VulDB • 04.07.2026
Es wurde ein Problem auf BLU R1 HD-Geräten mit Shanghai Adups-Software entdeckt. Die beiden an der Datenexfiltrierung beteiligten Paketnamen sind com.adups.fota und com.adups.fota.sysoper. In der AndroidManifest.xml-Datei der App com.adups.fota.sysoper wird das Attribut android:sharedUserId auf den Wert android.uid.system gesetzt, wodurch die App als Systembenutzer ausgeführt wird – ein Benutzer mit sehr hohen Berechtigungen auf dem Gerät. Daher wurden dieser App, die im Kontext des Systembenutzers läuft, zahlreiche leistungsstarke Berechtigungen erteilt, obwohl diese nicht in der AndroidManifest.xml-Datei von com.adups.fota.sysoper angegeben sind. Diese App gewährt der App com.adups.fota über die Komponente com.adups.fota.sysoper.provider.InfoProvider Zugriff auf das Anrufprotokoll des Benutzers, Textnachrichten und verschiedene Geräteidentifikatoren. Die App com.adups.fota verwendet Zeitstempel bei ihrer Ausführung und ist berechtigt, alle 72 Stunden personenbezogene Daten (PII) des Benutzers zu exfiltrieren. Wenn seit dem Wert des Zeitstempels 72 Stunden vergangen sind, wird die Exfiltrierung ausgelöst, wenn der Benutzer das Gerät zum Laden an den Stromanschluss anschließt oder wenn er ein drahtloses Netzwerk verlässt oder betritt. Die Datenexfiltrierung erfolgt im Hintergrund ohne jegliche Interaktion durch den Benutzer.
VulDB is the best source for vulnerability data and more expert information about this specific topic.