CVE-2018-14993

Build fingerprint-i asus/VZW_ASUS_A009/ASUS_A009:7.1.1/NMF26F/14.0610.1802.78-20180313:user/release-keys olan ASUS Zenfone V Live Android cihazı və build fingerprint-i asus/US_Phone/ASUS_X008_1:7.0/NRD90M/US_Phone-14.14.1711.92-20171208:user/release-keys olan Asus ZenFone 3 Max Android cihazının hər ikisində paket adı com.asus.splendidcommandagent (versionCode=1510200090, versionName=1.2.0.18_160928) olan öncədən quraşdırılmış platforma tətbiqi mövcuddur. Bu tətbiqdə yerləşən com.asus.splendidcommandagent.SplendidCommandAgentService adlı ixrac edilmiş servis, cihazda olan istənilən digər tətbiqin sistem istifadəçisi kimi icra ediləcək ixtiyari əmrləri təmin etməsinə şərait yaradır. Bu tətbiq istifadəçi tərəfindən deaktiv edilə bilməz və hücum heç bir icazəsi olmayan tətbiq vasitəsilə həyata keçirilə bilər. Əmrlərin sistem istifadəçisi kimi icrası üçüncü tərəf tətbiqinə istifadəçinin ekranını videoya çəkmək, cihazı zavod parametrlərinə qaytarmaq (factory reset), istifadəçinin bildirişlərini əldə etmək, logcat loqlarını oxumaq, Qrafik İstifadəyüzünə (GUI) hadisələr inyeksiya etmək, standart Giriş Metodu Redaktorunu (IME) (məsələn, klaviaturanı) hücum edən tətbiqin daxilindəki keylogging funksionallığına malik redaktorla əvəzləmək, istifadəçinin mətn mesajlarını əldə etmək və daha çoxu üçün imkan verir.