CVE-2018-14996

OPPO/CPH1723/CPH1723:7.1.1/N6F26Q/1513597833:user/release-keys yapı parmak izine sahip Oppo F5 Android cihazı, com.dropboxchmod paket adına (versionCode=1, versionName=1.0) sahip ve önceden yüklenmiş bir platform uygulaması içermektedir; bu uygulama, cihazda bulunan herhangi bir uygulamanın sistem kullanıcısı olarak yürütülecek rastgele komutlar sağlamasına izin veren com.dropboxchmod.DropboxChmodService adlı dışa aktarılmış bir servis barındırmaktadır. Bu uygulama kullanıcı tarafından devre dışı bırakılamaz ve saldırı sıfır izinli bir uygulama tarafından gerçekleştirilebilir. Komutların sistem kullanıcısı olarak yürütülmesi, üçüncü taraf bir uygulamanın kullanıcının ekranını videoya kaydetmesine, cihazı fabrika ayarlarına döndürmesine, kullanıcının bildirimlerini elde etmesine, logcat günlüklerini okumasına, Grafik Kullanıcı Arayüzüne (GUI) olaylar enjekte etmesine, kullanıcının kısa mesajlarını almasına ve daha fazlasına olanak tanıyabilir. Bu güvenlik açığı ayrıca Oppo F5 cihazında kullanıcının haberi olmadan gizlice ses kaydı yapmak için de kullanılabilir. Önceden yüklenmiş olan com.oppo.engineermode uygulaması (versionCode=25, versionName=V1.01), bir kayıt başlatmak için çalıştırılabilen ve hızlıca kapatılabilen dışa aktarılmış bir aktiviteye sahiptir. Aktivite, kullanıcının uygulamayı son kullanılan uygulamalar listesinde göremeyeceği şekilde başlatılabilir. Ortaya çıkan amr ses dosyası, sistem kullanıcısı olarak rastgele komut çalıştırma güvenlik açığı kullanılarak dahili depolamadaki bir konumdan kopyalanabilir. Komutların sistem kullanıcısı olarak yürütülmesi, üçüncü taraf bir uygulamanın cihazı fabrika ayarlarına döndürmesine, kullanıcının bildirimlerini elde etmesine, logcat günlüklerini okumasına, Grafik Kullanıcı Arayüzüne (GUI) olaylar enjekte etmesine, varsayılan Giriş Yöntemi Düzenleyicisini (IME) (örneğin klavye), saldırgan uygulama içinde yer alan tuş kaydedici (keylogging) işlevine sahip bir düzenleyici ile değiştirmesine, kullanıcının kısa mesajlarını almasına ve daha fazlasına olanak tanıyabilir.