SHARP AQUOS series (AQUOS SH-M02 build number 01.00.05 and earlier, AQUOS SH-RM02 build number 01.00.04 and earlier, AQUOS mini SH-M03 build

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• sharp aquos compact sh-m06 firmwareдо 02.00.02 включительно
• sharp aquos l2 firmwareдо 01.00.05 включительно
• sharp aquos mini sh-m03 firmwareдо 01.00.01 включительно
• sharp aquos mini sh-m03 firmwareдо 01.00.04 включительно
• sharp aquos sense firmwareдо 03.00.03 включительно
• sharp aquos sense lite sh-m05 firmwareдо 03.00.04 включительно
• sharp aquos sense plus sh-m07 firmwareдо 0.2.00.02 включительно
• sharp aquos sense2 firmwareдо 02.00.06 включительно
• sharp aquos sense2 sh-m08 firmwareдо 02.00.05 включительно
• sharp aquos sh-m02 firmwareдо 01.00.05 включительно
• sharp aquos sh-rm02 firmwareдо 01.00.04 включительно

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (jpcert). Не зависят от анализа CPE в NVD и обычно опережают его.

• Sharp Corporation SHARP AQUOS series

  • AQUOS SH-M02 build number 01.00.05 and earlier, AQUOS SH-RM02 build number 01.00.04 and earlier, AQUOS mini SH-M03 build number 01.00.04 and earlier, AQUOS Keitai SH-N01 build number 01.00.01 and earlзатронута

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.