تم الكشف عن ثلاث ثغرات أمنية في تطبيقات مثبتة مسبقًا على هواتف Ulefone و Krüger&Matz ، حيث يمكن لأي تطبيق مثبت على الجهاز تنفيذ إعادة ضبط المصنع وتشفير التطبيقات دون إذن المستخدم.
تفاصيل الثغرات
1. CVE-2024-13915 (درجة CVSS: 6.9) – تطبيق com.pri.factorytest المثبت مسبقًا على هواتف Ulefone و Krüger&Matz يعرض خدمة FactoryResetService ، مما يتيح لأي تطبيق مثبت إجراء إعادة ضبط المصنع للجهاز دون قيود.
2. CVE-2024-13916 (درجة CVSS: 6.9) – تطبيق com.pri.applock على هواتف Krüger&Matz يمكّن المستخدم من تشفير أي تطبيق باستخدام رمز PIN أو بيانات بيومترية، ولكنه يكشف أيضًا عن طريقة query() الخاصة بـ PriFpShareProvider ، مما يسمح لتطبيقات ضارة بسرقة رمز PIN.
3. CVE-2024-13917 (درجة CVSS: 8.3) – تطبيق com.pri.applock على هواتف Krüger&Matz يعرض نشاط LockUI ، مما يسمح لأي تطبيق ضار بحقن أوامر ذات امتيازات على مستوى النظام دون الحاجة إلى أذونات.
خطورة الهجوم
تمثل هذه الثغرات تهديدًا كبيرًا حيث يمكن للمهاجمين استغلال CVE-2024-13916 لسرقة رمز PIN ثم استخدام CVE-2024-13917 لتنفيذ عمليات خطيرة على الجهاز.
وقد تم الإبلاغ عن هذه الثغرات بواسطة الباحث الأمني Szymon Chadam من خلال CERT Polska ، لكن وضع التصحيحات الأمنية لهذه المشكلات لا يزال غير واضح حتى الآن.
ولم تصدر Ulefone و Krüger&Matz أي تصريحات رسمية بشأن معالجة هذه الثغرات حتى اللحظة، وما زالت Hacker News تحاول الحصول على تعليقات إضافية من الشركات المصنعة لتوضيح الإجراء المتخذ.
