CVE-2018-14990 in Coolpad Defiant
Riassunto
di VulDB • 24/06/2026
Il dispositivo Coolpad Defiant con fingerprint di build Coolpad/cp3632a/cp3632a:7.1.1/NMF26F/099480857:user/release-keys, lo ZTE ZMAX Pro con fingerprint di build ZTE/P895T20/urd:6.0.1/MMB29M/20170418.114928:user/release-keys e il T-Mobile Revvl Plus con fingerprint di build Coolpad/alchemy/alchemy:7.1.1/143.14.171129.3701A-TMO/buildf_nj_02-206:user/release-keys contengono tutti un'applicazione Rich Communication Services (RCS) preinstallata e vulnerabile. Questi dispositivi includono tale app, che ha come nome del pacchetto com.suntek.mway.rcs.app.service (versionCode=1, versionName=RCS_sdk_M_native_20161008_01; versionCode=1, versionName=RCS_sdk_M_native_20170406_01) e un componente app di broadcast receiver denominato com.suntek.mway.rcs.app.test.TestReceiver, nonché una versione refactored dell'app con nome del pacchetto com.rcs.gsma.na.sdk (versionCode=1, versionName=RCS_SDK_20170804_01) e un componente app di broadcast receiver denominato com.rcs.gsma.na.test.TestReceiver. A causa della presenza di un componente app di broadcast receiver esportato, qualsiasi altra applicazione installata sullo stesso dispositivo può inviare programmaticamente messaggi di testo in cui il numero del destinatario e il corpo del messaggio sono controllati dall'attaccante. Questa applicazione non può essere disabilitata dall'utente e l'attacco può essere eseguito da un'applicazione con zero permessi (zero-permission app). Una vulnerabilità separata nell'app consente a un'applicazione con zero permessi di eliminare programmaticamente i messaggi di testo, in modo che i messaggi inviati possano essere rimossi per non allertare l'utente.
If you want to get best quality of vulnerability data, you may have to visit VulDB.