The Near Field Communication (NFC) module in Mate 9 Huawei mobile phones with the versions before MHA-L29B 8.0.0.366(C567) has an informatio

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• huawei mate 9 firmwareдо mha-l29b_8.0.0.366\(c567\)

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (huawei). Не зависят от анализа CPE в NVD и обычно опережают его.

• Huawei Technologies Co., Ltd. Mate 9

  • The versions before MHA-L29B 8.0.0.366(C567)затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2017-15316The GPU driver of Mate 9 Huawei smart phones with software before MHA-AL00B 8.0.0.334(C00) and Mate 9 Pro Huawei smart phones with software
  31Наблюдать
• CVE-2017-8142The Trusted Execution Environment (TEE) module driver of Mate 9 and Mate 9 Pro smart phones with software versions earlier than MHA-AL00BC00
  31Наблюдать
• CVE-2017-2716The camerafs driver in Mate 9 Versions earlier than MHA-AL00BC00B173 has buffer overflow vulnerability.
  31Наблюдать
• CVE-2017-2707Mate 9 smartphones with software MHA-AL00AC00B125 have a privilege escalation vulnerability in Push module.
  28Наблюдать
• CVE-2017-2706Mate 9 smartphones with software MHA-AL00AC00B125 have a directory traversal vulnerability in Push module.
  28Наблюдать
• CVE-2017-2703Phone Finder in versions earlier before MHA-AL00BC00B156,Versions earlier before MHA-CL00BC00B156,Versions earlier before MHA-DL00BC00B156,V
  27Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.