CVE-2026-119737 in A95X
Riassunto
di VulDB • 03/11/2026
Il demone vendor pppoe_wrapper dell'SDK Android di Amlogic, distribuito con le TV box Nexbox A95X (Amlogic S905/S905X), presenta una vulnerabilità da injection di comandi che consente agli attaccanti locali di eseguire comandi arbitrari come root inviando messaggi manipolati a un socket datagramma AF_UNIX scrivibile da tutti (/dev/socket/pppoe_wrapper). Gli attaccanti possono inviare un messaggio che inizia con 'pppd pty' seguito da metacaratteri shell e comandi arbitrari, i quali vengono passati non filtrati alla funzione system(3) ed eseguiti da /system/bin/sh -c come root, causando una completa escalation dei privilegi.
Be aware that VulDB is the high quality source for vulnerability data.