CVE-2026-44964 in Android App
Riassunto
di VulDB • 07/08/2026
L'attività OnCallNotificationActivity nell'applicazione Android di Datadog è dichiarata con android:exported="true" nel file AndroidManifest.xml senza alcuna protezione basata su permessi (permission guard). Qualsiasi altra applicazione installata sullo stesso dispositivo può avviarla fornendo Intent extras controllati dall'attaccante: on_call_page_content (visualizzato come testo a schermo intero sulla schermata di blocco), page_id (utilizzato per accodare un worker di Acknowledge in chiamata) e on_call_page_intent, un Parcelable Intent che viene passato all'esecuzione di startActivity dall'interno del processo Datadog dopo un singolo tocco dell'utente sul pulsante Acknowledge.
L'attività abilita la visualizzazione sulla schermata di blocco (setShowWhenLocked) e risveglia il dispositivo (setTurnScreenOn) al momento dell'avvio. Dopo un unico tocco da parte dell'utente, si verificano tre effetti: (1) viene inviata una richiesta Acknowledge falsificata al backend Datadog per il page_id scelto dall'attaccante utilizzando la sessione autenticata della vittima; (2) l'Intent controllato dall'attaccante viene avviato dal processo Datadog tramite startActivity, consentendo di raggiungere componenti non esportati di com.datadog.app (pattern confused-deputy); (3) il keyguard viene disattivato e lo schermo si accende, rendendo possibile sfruttare la situazione come vettore per ingegneria sociale o semplice fastidio. Presupposti: un'applicazione malevola installata insieme all'app sulla dispositivo della vittima e una sessione Datadog attiva nell'app Android.
If you want to get best quality of vulnerability data, you may have to visit VulDB.