CVE-2018-14983

Sony/G3313/G3313:7.0/43.0.A.6.49/2867558199:user/release-keys yapı parmak izine sahip Sony Xperia L1 Android cihazı, Sony veya tedarik zincirindeki başka bir kuruluş tarafından değiştirilmiş olan android paket isimli (versionCode=24, versionName=7.0) android framework (yani system_server) bileşenini içermektedir. Çekirdek android paketindeki system_server işlemi, cihazda bulunan herhangi bir uygulamanın programatik olarak ekran görüntüsü alınmasını başlatmasına ve sonuçlanan ekran görüntüsünün harici depolamaya yazılmasına izin veren dışa aktarılmış bir broadcast receiver içerir. Ekran görüntüsü alma işlemi kullanıcı için şeffaf değildir; ekran görüntüsü alınırken cihazda bir ekran animasyonu oluşur ve bir ekran görüntüsü alındığını belirten bir bildirim görüntülenir. Saldırgan uygulama ayrıca EXPAND_STATUS_BAR izni isterse, belirli teknikler kullanarak cihazı uyandırabilir ve cihazda aktif bir ekran kilidi olsa bile kullanıcının bildirimlerinin ekran görüntüsünü almak için durum çubuğunu genişletebilir. Bildirimler, iki faktörlü kimlik doğrulamada kullanılan metin mesajları gibi hassas veriler içerebilir. Bu özelliği sağlayan system_server işlemi, Android framework'ün bir parçası olduğu için devre dışı bırakılamaz. Bildirim, cihazı yeniden başlatmaya yönelik yerel bir Hizmet Reddi (DoS) saldırısı ile kaldırılabilir.