CVEID: CVE-2019-14326

Name des betroffenen Produkts/der betroffenen Produkte und Version(en): Andy (alle Versionen bis 46.11.113)

Problemtyp: CWE-284: Improper Access Control

Zusammenfassung

Andy ist ein Android-Emulator für Windows und Mac.

Während unserer Tests haben wir offene lokale TCP-Ports gefunden, die ausgenutzt werden könnten, um Berechtigungen von Benutzer auf Root zu erhöhen. Alle Versionen von Andy (bis einschließlich 46.11.113 und möglicherweise auch neuere Versionen) erlauben Telnet- und SSH-Zugriff auf das Root-Konto ohne Passwortschutz.

Beschreibung

Andy-Emulator öffnet die Ports 22 und 23 innerhalb der emulierten Android-Systeme. Dies sind SSH- und Telnet-Ports, die Zugriff auf die Root-Shell ohne Passwortschutz gewähren. Obwohl das Problem nicht remote ausnutzbar ist, da das emulierte Android-Gerät nur innerhalb eines VMWare-Netzwerks sichtbar ist, das nur vom Host-Betriebssystem und dem emulierten Android-System selbst erreichbar ist, kann es von bösartigen Apps, die in den emulierten Systemen installiert sind, genutzt werden, um ohne Benutzereingriff Berechtigungen auf Root zu erhöhen.

Reproduktion

echo "[command_to_execute]" | busybox telnet localhost 23

Gegenmaßnahme

Beenden Sie die Telnet- und SSH-Daemons.

cve-2019-14326

Beliebteste