The BlueZ system service in Tizen allows an unprivileged process to partially control Bluetooth or acquire sensitive information, due to imp

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• linux tizen1.0
• linux tizen2.0
• linux tizen2.1
• linux tizen2.2
• linux tizen2.2.1
• linux tizen2.3
• linux tizen2.3.1
• linux tizen2.4
• linux tizen3.0
• linux tizen4.0
• linux tizen5.0

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2021-25437Improper access control vulnerability in Tizen FOTA service prior to Firmware update JUL-2021 Release allows attackers to arbitrary code exe
  40В плане
• CVE-2021-25435Improper input validation vulnerability in Tizen bootloader prior to Firmware update JUL-2021 Release allows arbitrary code execution using
  40В плане
• CVE-2021-25434Improper input validation vulnerability in Tizen bootloader prior to Firmware update JUL-2021 Release allows arbitrary code execution using
  40В плане
• CVE-2021-25436Improper input validation vulnerability in Tizen FOTA service prior to Firmware update JUL-2021 Release allows arbitrary code execution via
  39Наблюдать
• CVE-2018-16263The PulseAudio system service in Tizen allows an unprivileged process to control its A2DP MediaEndpoint, due to improper D-Bus security poli
  35Наблюдать
• CVE-2018-16262The pkgmgr system service in Tizen allows an unprivileged process to perform package management actions, due to improper D-Bus security poli
  35Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.