CVE-2023-38290

BLU View 2 və Sharp Rouvo V Android cihazları üçün müəyyən proqram təminatı versiyaları, çatışmaz giriş nəzarəti səbəbindən yerli üçüncü tərəf tətbiqlərinin öz kontekstində (system istifadəçisi) ixtiyari shell əmrlərini icra etməsinə imkan verən com.evenwell.fqc paket adına malik zəiflikli önquraşdırılmış tətbiq ehtiva edir (versionCode='9020801', versionName='9.0208.01'; versionCode='9020913', versionName='9.0209.13'; versionCode='9021203', versionName='9.0212.03'). com.evenwell.fqc tətbiqindəki bu zəifliyi istismar etmək üçün heç bir icazə və ya xüsusi imtiyaz tələb olunmur. Üçüncü tərəf tətbiqinin quraşdırılması və işə salınmasından başqa heç bir istifadəçi qarşılıqlı əlaqəsi tələb edilmir. Zəiflik yerli tətbiqlərə adətən yalnız önquraşdırılmış tətbiqlər üçün məhdudlaşdırılan həssas funksionallığa daxil olmağa imkan verir, məsələn, aşağıdakı hərəkətləri proqram təminatı vasitəsilə yerinə yetirmək: ixtiyari icazələrin verilməsi (hansı ki, həssas istifadəçi məlumatlarını əldə etmək üçün istifadə edilə bilər), ixtiyari tətbiqlərin quraşdırılması, ekranın video yazısı, cihazın silinməsi (istifadəçinin tətbiqlərinin və məlumatlarının silinməsi), ixtiyari giriş hadisələrinin (input events) injeksiya edilməsi, təcili telefon nömrələrinin çağırılması, tətbiqlərin deaktiv edilməsi, bildirişlərə giriş və daha çoxu. Təsdiq edilmiş hər bir zəiflikli cihaz üçün proqram təminatının build fingerprint-ləri aşağıdakılardır: BLU View 2 (BLU/B131DL/B130DL:11/RP1A.200720.011/1672046950:user/release-keys, BLU/B131DL/B130DL:11/RP1A.200720.011/1663816427:user/release-keys, BLU/B131DL/B130DL:11/RP1A.200720.011/1656476696:user/release-keys, BLU/B131DL/B130DL:11/RP1A.200720.011/1647856638:user/release-keys) və Sharp Rouvo V (SHARP/VZW_STTM21VAPP/STTM21VAPP:12/SP1A.210812.016/1KN0_0_460:user/release-keys və SHARP/VZW_STTM21VAPP/STTM21VAPP:12/SP1A.210812.016/1KN0_0_530:user/release-keys). Bu zərərli tətbiq com.evenwell.fqc/.activity.ClickTest adlı ixrac edilmiş fəaliyyəti başladır, com.evenwell.fqc/.FQCBroadcastReceiver qəbuledici komponentinə boş Intent (yəni, extras hissəsi olmayan) göndərərək com.evenwell.fqc tətbiqini çökdürür və sonra com.evenwell.fqc/.FQCService servis komponentinə ixtiyari shell əmrləri göndərir ki, onlar da "system" imtiyazları ilə icra edilir.