CVE-2018-14990 in Coolpad Defiant
Résumé
par VulDB • 24/06/2026
L'appareil Coolpad Defiant avec une empreinte de build (build fingerprint) de Coolpad/cp3632a/cp3632a:7.1.1/NMF26F/099480857:user/release-keys, le ZTE ZMAX Pro avec une empreinte de build de ZTE/P895T20/urd:6.0.1/MMB29M/20170418.114928:user/release-keys et le T-Mobile Revvl Plus avec une empreinte de build de Coolpad/alchemy/alchemy:7.1.1/143.14.171129.3701A-TMO/buildf_nj_02-206:user/release-keys contiennent tous une application Rich Communication Services (RCS) préinstallée et vulnérable. Ces appareils comportent une application dont le nom de package est com.suntek.mway.rcs.app.service (versionCode=1, versionName=RCS_sdk_M_native_20161008_01 ; versionCode=1, versionName=RCS_sdk_M_native_20170406_01) avec un composant d'application de type broadcast receiver nommé com.suntek.mway.rcs.app.test.TestReceiver et une version refactorisée de l'application dont le nom de package est com.rcs.gsma.na.sdk (versionCode=1, versionName=RCS_SDK_20170804_01) avec un composant d'application de type broadcast receiver nommé com.rcs.gsma.na.test.TestReceiver. Ces composants permettent à toute application co-localisée sur l'appareil d'envoyer programmatiquement des messages texte dont le numéro et le corps sont contrôlés par l'attaquant, en raison du fait que le composant broadcast receiver est exporté. Cette application ne peut pas être désactivée par l'utilisateur et l'attaque peut être effectuée par une application disposant de zéro permission (zero-permission app). Une vulnérabilité distincte dans cette application permet à une application avec zéro permission de supprimer programmatiquement des messages texte, afin que les messages envoyés puissent être retirés sans alerter l'utilisateur.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.