CVE-2014-7911: في تنفيذ java.io.ObjectInputStream في Android قبل الإصدار 5.0.0، لا يتحقق luni/src/main/java/java/io/ObjectInputStream.java من أن إلغاء التسلسل... | Kitploit

CVE-2014-7911

عاليتم النشر

في تنفيذ java.io.ObjectInputStream في Android قبل الإصدار 5.0.0، لا يتحقق luni/src/main/java/java/io/ObjectInputStream.java من أن إلغاء التسلسل...

تم النشر: 15‏/12‏/2014
محدث: 06‏/08‏/2024
تخصيص CNA: Chrome
الأدلة المرصودة: 08‏/08‏/2026

CVSS الأساسي

7.2/ 10عالي

nvd · CVSS 2.0

AV:L/AC:L/Au:N/C:C/I:C/A:C

تقدير احتمالية EPSS

24.5‎%‎

متوسط · الثلاثين يومًا القادمة

المئوية: 97.8‎%‎
تاريخ الموديل: 12‏/10‏/2026

EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.

ملخص

في تنفيذ java.io.ObjectInputStream في Android قبل الإصدار 5.0.0، لا يتحقق luni/src/main/java/java/io/ObjectInputStream.java من أن إلغاء التسلسل (deserialization) سينتج كائنًا يلبي متطلبات التسلسل (serialization)، مما يسمح للمهاجمين بتنفيذ كود عشوائي عبر طريقة finalize مصممة خصيصًا لكائن متسلسل في Parcel من نوع ArrayMap داخل intent مرسل إلى system_service، كما هو موضح في طريقة finalize الخاصة بـ android.os.BinderProxy، والمعروف باسم Bug 15874291.

المصادر

CVE-2014-7911استغلال
استغلال لإثبات المفهوم لتصعيد الامتيازات المحلية في أندرويد (CVE-2014-7911) يستهدف Nexus5 باستخدام سلسلة ROP و heap spraying للحصول على uid النظام.
CVE-2014-7911pocPoC
إثبات مفهوم لاستغلال ثغرة CVE-2014-7911 تستهدف Android 4.4.4 على Nexus5، باستخدام سلسلة ROP مخصصة لرفع الامتيازات وكتابة الملفات كمستخدم النظام.
CVE-2014-7911_pocاستغلال
ثغرة رفع صلاحيات محلية لهاتف Nexus5 بنظام Android 4.4.4 (KTU84P)
cve-2014-7911-exp

الاستخدام المسؤول

استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.