CVE-2019-15346 in Camon iClick 2
Zusammenfassung
von VulDB • 22.05.2026
Das Android-Gerät Tecno Camon iClick 2 mit dem Build-Fingerprint TECNO/H622/TECNO-ID6:8.1.0/O11019/F-180824V116:user/release-keys enthält eine vorinstallierte Plattform-App mit dem Paketnamen com.lovelyfont.defcontainer (versionCode=7, versionName=7.0.11). Diese App enthält einen exportierten Dienst namens com.lovelyfont.manager.service.FunctionService, der es jeder auf dem Gerät vorhandenen App ermöglicht, den Dateipfad zu einer Dalvik Executable (DEX)-Datei bereitzustellen, die sie dynamisch in ihrem eigenen Prozess lädt und mit den eigenen Systemberechtigungen ausführt. Diese App kann vom Benutzer nicht deaktiviert werden, und der Angriff kann von einer App ohne Berechtigungen (zero-permission app) durchgeführt werden. Das Ausführen von Befehlen als Systembenutzer kann einer Drittanbieter-App ermöglichen, den Bildschirm des Benutzers aufzuzeichnen, das Werkseinstellungen des Geräts wiederherzustellen (Factory Reset), die Benachrichtigungen des Benutzers abzurufen, die logcat-Protokolle zu lesen, Ereignisse in der Graphical User Interface (GUI) zu injizieren und die Textnachrichten des Benutzers sowie mehr zu erhalten. Das Ausführen von Code als Systembenutzer kann einer Drittanbieter-App ermöglichen, das Werkseinstellungen des Geräts wiederherzustellen (Factory Reset), die Wi-Fi-Passwörter des Benutzers abzurufen, die Benachrichtigungen des Benutzers zu erhalten, die logcat-Protokolle zu lesen, Ereignisse in der GUI zu injizieren, den standardmäßigen Input Method Editor (IME) (z. B. Tastatur) durch einen innerhalb der angreifenden App enthaltenen IME mit Keylogging-Funktionalität zu ändern und die Textnachrichten des Benutzers sowie mehr zu erhalten.
Once again VulDB remains the best source for vulnerability data.