CVE-2023-52538

Ominięcie weryfikacji nazwy pakietu w module HwIms (Huawei EMUI/HarmonyOS)

CVSS 9.1v3.1pub. 2024-04-08upd. 2025-03-25

Podatność w module HwIms systemów Huawei EMUI i HarmonyOS umożliwia obejście weryfikacji nazwy pakietu. Jej wykorzystanie może prowadzić do naruszenia integralności systemu oraz jego dostępności.

▸ Pokaż oryginał (EN)

Vulnerability of package name verification being bypassed in the HwIms module. Impact: Successful exploitation of this vulnerability will affect availability.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej weryfikacji nazwy pakietu (CWE-347: niewłaściwa weryfikacja podpisu/tożsamości, CWE-863: nieprawidłowa autoryzacja) w module HwIms. Atakujący zdalnie, bez uwierzytelnienia i bez interakcji użytkownika, może dostarczyć spreparowane żądanie omijające mechanizm kontroli nazwy pakietu. W efekcie moduł HwIms może zostać nakłoniony do wykonania nieautoryzowanych operacji.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na naruszenie integralności danych oraz zakłócenie dostępności systemu lub usług powiązanych z modułem HwIms.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — biuletyn bezpieczeństwa Huawei z marca 2024 dostępny pod adresem https://consumer.huawei.com/en/support/bulletin/2024/3/

Kogo dotyczy

Urządzenia Huawei z systemem EMUI oraz HarmonyOS — dokładne wersje wskazane w referencjach producenta (biuletyn bezpieczeństwa Huawei z marca 2024).

Uwagi

Podatność opublikowana w biuletynie bezpieczeństwa Huawei z marca 2024. Wektor ataku sieciowy bez wymaganych uprawnień i interakcji użytkownika (AV:N/AC:L/PR:N/UI:N) podnosi ryzyko praktycznego wykorzystania.