CVE-2019-15344

TECNO/H633/TECNO-IN6:8.1.0/O11019/A-180409V96:user/release-keys yapı parmak izine sahip Tecno Camon iClick Android cihazı, com.lovelyfont.defcontainer paket adına sahip ön yüklü bir platform uygulaması (versionCode=7, versionName=7.0.8) içermektedir. Bu uygulama, cihazda bulunan herhangi bir uygulamanın sistem kullanıcısı olarak yürütülecek rastgele komutlar sağlamasına izin veren com.lovelyfont.manager.FontCoverService adlı dışa aktarılmış bir servis içerir. Bu uygulama kullanıcı tarafından devre dışı bırakılamaz ve saldırı sıfır izinli bir uygulama tarafından gerçekleştirilebilir. Yerel saldırı yüzeyine ek olarak, com.ekesoo.lovelyhifonts paket adına sahip beraberindeki uygulama HTTP kullanarak ağ istekleri yapar ve bir saldırgan, bağlantı üzerinde Ortadaki Adam (MITM) saldırısı gerçekleştirerek ağ yanıtına, com.lovelyfont.defcontainer uygulaması tarafından sistem kullanıcısı olarak yürütülecek bir komut enjekte edebilir. Komutların sistem kullanıcısı olarak yürütülmesi; üçüncü taraf bir uygulamanın kullanıcının ekranını videoya kaydetmesine, cihazı fabrika ayarlarına döndürmesine, kullanıcının bildirimlerini elde etmesine, logcat günlüklerini okumasına, Grafik Kullanıcı Arayüzüne (GUI) olaylar enjekte etmesine, kullanıcının kısa mesajlarını elde etmesine ve daha fazlasına olanak tanıyabilir. Komutların sistem kullanıcısı olarak yürütülmesi; üçüncü taraf bir uygulamanın cihazı fabrika ayarlarına döndürmesine, kullanıcının bildirimlerini elde etmesine, logcat günlüklerini okumasına, GUI'ye olaylar enjekte etmesine, varsayılan Giriş Yöntemi Düzenleyicisini (IME) (örneğin klavye) saldırgan uygulamanın içinde bulunan tuş kaydedici (keylogging) işlevine sahip bir düzenleyici ile değiştirmesine, kullanıcının kısa mesajlarını elde etmesine ve daha fazlasına olanak tanıyabilir.