CVE-2014-7911

AltoPublicado

luni/src/main/java/java/io/ObjectInputStream.java en la implementación java.io.ObjectInputStream en Android anterior a 5.0.0 no verifica que la...

Publicado: 15 dic 2014
Actualizado: 6 ago 2024
Asignación de CNA: Chrome
Evidencia observada: 8 ago 2026

CVSS primario

7,2/ 10Alto

nvd · CVSS 2.0

AV:L/AC:L/Au:N/C:C/I:C/A:C

Estimación de probabilidad EPSS

24,5 %

Moderado · próximos 30 días

Percentil: 97,8 %
Fecha del modelo: 21 sept 2026

EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.

Resumen

luni/src/main/java/java/io/ObjectInputStream.java en la implementación java.io.ObjectInputStream en Android anterior a 5.0.0 no verifica que la deserialización resultará en un objeto que reunió los requisitos para la serialización, lo que permite a atacantes ejecutar código arbitrario a través de un método de finalizar para un objeto serializado en un paquete ArrayMap dentor de un intento enviado a system_service, tal y como fue demostrado por el método de finalizar de android.os.BinderProxy, también conocido como Bug 15874291.

Fuentes

CVE-2014-7911Exploit
Exploit de prueba de concepto para escalada de privilegios local en Android (CVE-2014-7911) dirigido a Nexus5 con cadena ROP y heap spraying para obtener el uid del sistema.
CVE-2014-7911pocPoC
Exploit de prueba de concepto para CVE-2014-7911 dirigido a Android 4.4.4 en Nexus5, utilizando una cadena ROP personalizada para escalar privilegios y escribir archivos como el usuario system.
CVE-2014-7911_poc

Uso responsable

Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.