CVE-2018-14980

asus/US_Phone/ASUS_X008_1:7.0/NRD90M/US_Phone-14.14.1711.92-20171208:user/release-keys build fingerprint-li ASUS ZenFone 3 Max Android cihazı, ASUS və ya təchizat zəncirindəki digər bir tərəf tərəfindən dəyişdirilmiş android paket adına (versionCode=24, versionName=7.0) malik android framework (yəni, system_server) ehtiva edir. Əsas android paketindəki system_server prosesinin ixrac edilmiş broadcast receiver-i, cihazda yerləşən hər hansı proqramın proqram təminatı vasitəsilə ekran görüntüsünün (screenshot) götürülməsini başlatmasına və nəticədə əldə edilən görüntünün xarici yaddaşa (yəni, sdcard) yazılmasına imkan verir. Ekran görüntüsünün götürülməsi istifadəçi üçün şəffaf deyil; görüntü götürülərkən cihazda ekran animasiyası baş verir və ekran görüntüsünün alındığını bildirən bildiriş görünür. Hücum edən proqram həmçinin EXPAND_STATUS_BAR icazəsini tələb etdikdə, müəyyən texnikalarla cihazı oyada və hətta cihazda aktiv ekran kilidi olsa belə, istifadəçinin bildirişlərinin ekran görüntüsünü götürmək üçün status panelini genişləndirə bilər. Bildirişlər iki faktorlu autentifikasiyada istifadə olunan mətn mesajları kimi həssas məlumatlar ehtiva edə bilər. Bu imkanı təmin edən system_server prosesi Android framework-ün hissəsi olduğu üçün deaktiv edilə bilməz. Bildiriş, cihazı yenidən başlatmaq üçün yerli Xidmətdən imtina (DoS) hücumu ilə silinə bilər.