正文

在AndyOS Andy版本高达46.11.113中发现一个问题

admin
admin V管理员 /0 评论 /15 阅读
0419
此篇文章发布距今已超过1111天，您需要注意文章的内容或图片是否可用！

CVE编号

CVE-2019-14326

利用情况

暂无

补丁情况

N/A

披露时间

2020-04-15
漏洞描述
在高达46.11.113的AndyOS Andy版本中发现了一个问题。默认情况下，它在模拟的Android系统中使用root特权启动telnet和ssh(端口22和23)。这可以被远程攻击者利用充分利用设备,或恶意应用程序安装在模拟器执行从一个普通用户特权升级到根(与标准方法获得根权限在Android上——例如,SuperSu程序——用户没有要求同意)。没有执行身份验证——在成功连接时，将提供对根shell的访问。注意:尽管最初发布的CVE ID号略有不同，但这个Andy漏洞的正确ID一直是CVE-2019-14326。
解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接
https://github.com/seqred-s-a/cve-2019-14326
https://seqred.pl/en/cve-privilege-escalation-in-andy/
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
系统 andyroid andy_os * Up to
(including)
46.11.113
CVSS3评分 7.8
  • 攻击路径 本地
  • 攻击复杂度 低
  • 权限要求 低
  • 影响范围 未更改
  • 用户交互 无
  • 可用性 高
  • 保密性 高
  • 完整性 高
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CWE-ID 漏洞类型 CWE-276 缺省权限不正确