CVE-2019-15343

TECNO/H633/TECNO-IN6:8.1.0/O11019/A-180409V96:user/release-keys yapı parmak izine sahip Tecno Camon iClick Android cihazı, com.lovelyfont.defcontainer paket adına sahip ön yüklü bir platform uygulaması (versionCode=7, versionName=7.0.8) içermektedir. Bu uygulama, cihazda bulunan herhangi bir uygulamanın, saldırgan tarafından seçilen bir mesajın logcat günlüğüne yazılmasıyla tetiklenen ve sistem kullanıcısı olarak yürütülecek rastgele komutları kabuk betiği aracılığıyla iletmesine izin veren com.lovelyfont.manager.FontCoverService adlı dışa aktarılmış bir servis içermektedir. Bu uygulama kullanıcı tarafından devre dışı bırakılamaz ve saldırı sıfır izinli bir uygulama tarafından gerçekleştirilebilir. Komutların sistem kullanıcısı olarak yürütülmesi; üçüncü taraf bir uygulamanın kullanıcının ekranını videoya kaydetmesine, cihazı fabrika ayarlarına döndürmesine, kullanıcının bildirimlerini elde etmesine, logcat günlüklerini okumasına, Grafik Kullanıcı Arayüzüne (GUI) olaylar enjekte etmesine, kullanıcının kısa mesajlarını ele geçirmesine ve daha fazlasına olanak tanıyabilir. Komutların sistem kullanıcısı olarak yürütülmesi; üçüncü taraf bir uygulamanın cihazı fabrika ayarlarına döndürmesine, kullanıcının bildirimlerini elde etmesine, logcat günlüklerini okumasına, GUI'ye olaylar enjekte etmesine, varsayılan Giriş Yöntemi Düzenleyicisini (IME) (örneğin klavye) saldırgan uygulamanın içinde bulunan tuş kaydedici işlevine sahip bir düzenleyiciyle değiştirmesine, kullanıcının kısa mesajlarını ele geçirmesine ve daha fazlasına olanak tanıyabilir.