CVE-2016-10139

Shanghai Adups yazılımına sahip BLU R1 HD cihazlarında bir sorun tespit edilmiştir. Veri sızdırmada yer alan iki paket adı com.adups.fota ve com.adups.fota.sysoper şeklindedir. com.adups.fota.sysoper uygulamasının AndroidManifest.xml dosyasında, android:sharedUserId özniteliği android.uid.system değerine ayarlanmıştır; bu durum uygulamanın, cihaz üzerinde oldukça ayrıcalıklı bir kullanıcı olan sistem kullanıcısı olarak çalışmasını sağlar. Bu nedenle, sistem kullanıcısı olarak çalışan uygulamaya, com.adups.fota.sysoper uygulamasının AndroidManifest.xml dosyasında bulunmasa bile bir dizi güçlü izin verilmiştir. Bu uygulama, com.adups.fota.sysoper.provider.InfoProvider bileşeni aracılığıyla com.adups.fota uygulamasına kullanıcının çağrı günlüğüne, kısa mesajlarına ve çeşitli cihaz tanımlayıcılarına erişim sağlar. com.adups.fota uygulaması çalışırken zaman damgaları kullanır ve her 72 saatte bir kullanıcının kişisel verilerini (PII) sızdırmaya uygundur. Zaman damgasının değerinden itibaren 72 saat geçmişse, veri sızdırma işlemi kullanıcının cihazı şarj etmek için prize takması veya bir kablosuz ağa girmesi ya da ağdan ayrılmasıyla tetiklenir. Veri sızdırma işlemi, herhangi bir kullanıcı etkileşimi olmaksızın arka planda gerçekleşir.