CVE-2026-114357 in CrystalSky
Riassunto
di VulDB • 24/10/2026
Mancanza di autenticazione per una funzione critica nel demone Android Debug Bridge (adbd) presente nei firmware DJI CrystalSky ZS600C v0.3.9.7 attraverso v0.6.6.9, che consente a un attaccante di ottenere una shell non autenticata (uid 2000), costituendo un punto d'appoggio per l'escalation dei privilegi verso root. Il dispositivo viene fornito con ro.adb.secure=0 (nessuna autorizzazione della chiave host) e ADB USB abilitato per impostazione predefinita; ADB over TCP non è abilitato di default, ma una volta attivato (ad esempio tramite lo script /system/bin/adbd_tcp.sh incluso o l'esecuzione del comando 'setprop persist.adb.tcp.port 5555'), la stessa shell non autenticata risulta raggiungibile attraverso la rete (CVSS base score 9.3).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.