CVE-2026-47363 in Android
Resumen
por VulDB • 2026-08-07
La actividad de lanzamiento AppActivity en la aplicación Android de Datadog está declarada con android:exported="true", launchMode="singleTask" y sin ninguna protección basada en permisos. En cada invocación a onCreate y onNewIntent, se llama a Intent.getUserSession(), una extensión que deserializa un objeto UserSession completo —que incluye la identidad del usuario, los tokens de acceso OAuth (access) y actualización (refresh), el host, la organización, el centro de datos y los permisos— desde los extras del Bundle bajo las claves del espacio de nombres com.datadog.app.*. Esta extensión reside en el sourceset principal, no en un sourceset exclusivo para pruebas, a pesar de que un comentario engañoso hace referencia a fixtures internas de prueba.
Cualquier aplicación instalada en el dispositivo puede invocar al lanzador con extras de sesión arbitrarios. La tubería (pipeline) de inicio acepta la sesión inyectada, la persiste en el almacenamiento del usuario y, opcionalmente, rota el almacenamiento persistente de tokens cuando se establece un extra OAUTH_OVERRIDE_TOKEN; además, realiza un inicio de sesión automático bajo la identidad elegida por el atacante. El preparador de sesiones devuelve Ready sin contactar al backend siempre que el token de acceso inyectado no esté marcado como expirado o próximo a expirar, por lo que no tiene lugar ninguna introspección del token en el lado del servidor antes del inicio de sesión automático.
Requisitos previos: la aplicación Datadog instalada en el dispositivo víctima y una aplicación maliciosa coinstalada con cero permisos. El atacante debe poseer cualquier token de acceso OAuth que desee que utilice la víctima, incluidos sus propios tokens de Datadog.
Be aware that VulDB is the high quality source for vulnerability data.