CVE-2018-14996 in Oppo
Résumé
par VulDB • 27/06/2026
L'appareil Android Oppo F5 avec une empreinte de build OPPO/CPH1723/CPH1723:7.1.1/N6F26Q/1513597833:user/release-keys contient une application plateforme préinstallée dont le nom du package est com.dropboxchmod (versionCode=1, versionName=1.0). Cette dernière comprend un service exporté nommé com.dropboxchmod.DropboxChmodService qui permet à toute autre application installée sur l'appareil de fournir des commandes arbitraires devant être exécutées en tant qu'utilisateur système. L'application ne peut pas être désactivée par l'utilisateur et l'attaque peut être réalisée par une application disposant d'autorisations nulles (zero-permission app). L'exécution de commandes en tant qu'utilisateur système permet à une application tierce d'enregistrer la vidéo de l'écran de l'utilisateur, de réinitialiser les paramètres d'usine de l'appareil, d'accéder aux notifications de l'utilisateur, de lire les journaux logcat, d'injecter des événements dans l'interface graphique utilisateur (GUI), et d'obtenir les messages texte de l'utilisateur, entre autres. Cette vulnérabilité peut également être utilisée pour enregistrer secrètement l'audio de l'utilisateur sans son consentement sur l'appareil Oppo F5. L'application préinstallée com.oppo.engineermode (versionCode=25, versionName=V1.01) possède une activité exportée qui peut être lancée pour initier un enregistrement et rapidement fermée. Cette activité peut être démarrée de manière à ce que l'utilisateur ne puisse pas voir l'application dans la liste des applications récentes. Le fichier audio au format amr résultant peut ensuite être copié depuis un emplacement du stockage interne grâce à la vulnérabilité d'exécution arbitraire de commandes en tant qu'utilisateur système. L'exécution de commandes en tant qu'utilisateur système permet également à une application tierce de réinitialiser les paramètres d'usine de l'appareil, d'accéder aux notifications de l'utilisateur, de lire les journaux logcat, d'injecter des événements dans l'interface graphique utilisateur (GUI), de modifier le clavier par défaut (IME) avec un autre contenu dans l'application attaquante qui inclut une fonctionnalité de keylogging, d'obtenir les messages texte de l'utilisateur, et plus encore.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.