CWE-926ВариантНеполный
Некорректный экспорт компонентов Android-приложения
Android-приложение экспортирует компонент для использования другими приложениями, однако не ограничивает должным образом, какие приложения могут запускать этот компонент или получать доступ к содержащимся в нём данным.
Открыть в каталоге с фильтром CWE →Связанные CAPEC
—
Связанные уязвимости
CVE-2025-5344Устройства Bluebird содержат предустановленное приложение киоска, которое открывает незащищенную службу "com.bluebird.kiosk.launcher.IpartnerKioskRemoteService". Локальный злоумышленник может подключиться к службе AIDL и изменить глобальные настройки устройства и изображение обоев.
Эта проблема затрагивает все версии до 1.1.2.
Источники:
- [1] https://cert.pl/en/posts/2025/07/CVE-2025-5344
CVE-2024-13917Приложение "com.pri.applock", предустановленное на смартфонах Kruger&Matz, позволяет пользователю шифровать любое приложение с помощью PIN-кода или биометрических данных. Эксплуатируемая активность "com.pri.applock.LockUI" позволяет любому другому вредоносному приложению внедрять произвольный интент с системными привилегиями в защищенное приложение. Для этого необходимо знать PIN-код или убедить пользователя предоставить его [1].
Источники:
- [1] https://cert.pl/en/posts/2025/05/CVE-2024-13915
CVE-2025-32347В onStart класса BiometricEnrollIntroduction.java обнаружена возможная уязвимость, позволяющая определить местоположение устройства из-за небезопасного PendingIntent. Это может привести к локальному повышению привилегий без необходимости дополнительных прав. Для эксплуатации требуется взаимодействие с пользователем [1]. Исправление включает удаление extras из PendingIntent для внешних пакетов во время регистрации [2]. Источники:
- [1] https://android.googlesource.com/platform/packages/apps/Settings/+/25cfacbe5ac2423b8fe1375e0593ef69e98b8d09
- [2] https://source.android.com/security/bulletin/2025-09-01
CVE-2021-25400Уязвимость перенаправления намерений в Samsung Internet до версии 14.0.1.20 позволяет злоумышленнику выполнять привилегированные действия.
CVE-2025-15464Exported Activity allows external applications to gain application context and directly launch Gmail with inbox access, bypassing security controls.
CVE-2021-25388Уязвимость неправильной проверки вызывающего абонента в Knox Core до версии SMR MAY-2021 Release 1 позволяет злоумышленникам устанавливать произвольное приложение.
CVE-2024-13916Приложение "com.pri.applock", предустановленное на смартфонах Kruger&Matz, позволяет пользователю шифровать любое приложение с помощью PIN-кода или биометрических данных.
Экспонированный метод query() контент-провайдера "com.android.providers.settings.fingerprint.PriFpShareProvider" позволяет любому другому вредоносному приложению без каких-либо разрешений Android системы получить PIN-код.
Была протестирована и подтверждена только версия (имя версии: 13, код версии: 33) на наличие этой уязвимости. Обновление приложения было выпущено в апреле 2025 года [1].
Источники:
- [1] https://cert.pl/en/posts/2025/05/CVE-2024-13915
CVE-2024-13915Смартфоны на базе Android от различных производителей, таких как Ulefone и Krüger&Matz, содержали предустановленное приложение "com.pri.factorytest". Приложение "com.pri.factorytest" (имя версии: 1.0, код версии: 1) предоставляет службу "com.pri.factorytest.emmc.FactoryResetService", позволяющую любому приложению выполнить сброс устройства до заводских настроек [1].
Источники:
- [1] https://cert.pl/en/posts/2025/05/CVE-2024-13915
CVE-2024-36437Приложение com.enflick.android.TextNow (он же TextNow: Call + Text Unlimited) 24.17.0.2 для Android позволяет любому установленному приложению (без каких-либо разрешений) совершать телефонные звонки без взаимодействия с пользователем, отправляя специально созданный intent через компонент com.enflick.android.TextNow.activities.DialerActivity.
CVE-2025-5345Устройства Bluebird содержат предустановленное приложение для управления файлами. Это приложение предоставляет незащищенный провайдер службы "com.bluebird.system.koreanpost.IsdcardRemoteService". Локальный злоумышленник может подключиться к службе AIDL и скопировать или удалить произвольные файлы из хранилища устройства с системными разрешениями.
Версия 1.4.4 уязвима, поставщик вернул уязвимые версии к более старой версии: 1.3.6 [1]
Источники:
- [1] https://cert.pl/en/posts/2025/07/CVE-2025-5344
CVE-2023-44121Уязвимость заключается в перенаправлении intent в LG ThinQ Service ("com.lge.lms2") в файле "com/lge/lms/things/ui/notification/NotificationManager.java". Эта уязвимость может быть использована сторонним приложением, установленным на устройстве LG, путем отправки широковещательного сообщения с действием "com.lge.lms.things.notification.ACTION". Кроме того, эта уязвимость очень опасна, поскольку LG ThinQ Service является системным приложением (имеет настройку android:sharedUserId="android.uid.system"). Перенаправление intent в этом приложении приводит к доступу к произвольным неэкспортированным действиям абсолютно всех приложений.
CVE-2025-20934Некорректный контроль доступа в Sticker Center до SMR Apr-2025 Release 1 позволяет локальным злоумышленникам получить доступ к файлам изображений с системными привилегиями. Патч добавляет надлежащий контроль доступа [1].
Источники:
- [1] https://security.samsungmobile.com/securityUpdate.smsb?year=2025&month=04
CVE-2023-20962В getSliceEndItem класса MediaVolumePreferenceController.java существует способ запуска действия переднего плана из фона из-за небезопасного PendingIntent. Это может привести к раскрытию локальной информации без дополнительных привилегий выполнения. Для эксплуатации не требуется взаимодействие с пользователем.
CVE-2021-25526Уязвимость перенаправления intent в Samsung Blockchain Wallet до версии 1.3.02.8 позволяет злоумышленнику выполнить привилегированное действие.
CVE-2021-25397Уязвимость неправильного контроля доступа в TelephonyUI до версии SMR MAY-2021 Release 1 позволяет локальным злоумышленникам записывать произвольные файлы процесса telephony через ненадежные приложения.