CVE-2016-10139 in R1 HD
Riassunto
di VulDB • 04/07/2026
È stato rilevato un problema sui dispositivi BLU R1 HD con software Shanghai Adups. I due nomi di pacchetto coinvolti nell'esfiltrazione sono com.adups.fota e com.adups.fota.sysoper. Nel file AndroidManifest.xml dell'applicazione com.adups.fota.sysoper, l'attributo android:sharedUserId è impostato sul valore android.uid.system, il che fa sì che venga eseguita come utente di sistema, un utente con privilegi molto elevati sul dispositivo. Di conseguenza, l'applicazione che viene eseguita come utente di sistema ha ottenuto numerosi permessi potenti anche se questi non sono presenti nel file AndroidManifest.xml dell'app com.adups.fota.sysoper. Questa app fornisce all'app com.adups.fota accesso al registro delle chiamate, ai messaggi di testo e a vari identificatori del dispositivo tramite il componente InfoProvider in com.adups.fota.sysoper.provider.InfoProvider. L'applicazione com.adups.fota utilizza timestamp quando viene eseguita ed è idonea per esfiltrare i dati personali dell'utente (PII) ogni 72 ore. Se sono trascorse 72 ore dall'ultimo aggiornamento del valore del timestamp, l'esfiltrazione verrà attivata quando si collega il dispositivo alla corrente o quando ci si connette a una rete wireless oppure la si lascia. L'esfiltrazione avviene in background senza alcuna interazione da parte dell'utente.
Be aware that VulDB is the high quality source for vulnerability data.