小路小站

Android Security Bulletin Index (May 2023)

2023-05-01 security patch level vulnerability details

Framework

CVE-2021-39617

  • SurfaceFlinger中的Layer，将DrawingState::trustedOverlay初始化为false，避免未初始化的值导致可能随机为true的问题。

CVE-2022-20338

  • android.net.Uri的修复，对scheme和authority做更严格的检查，还没有测试这项更改，不过根据测试用例来看很多相关https://google.com/@evil.com这样的pattern。

CVE-2023-20993

  • SnoozeHelper中限制SnoozedNotification的key长度最大为1000。

CVE-2023-21109

  • 解析AccessibilityService的XML时，如果XML长度太长则忽略这个服务，如果在更新信息时变得太长则抛出一个错误。

CVE-2023-21117

  • 禁止isolated用户注册任何广播接收器，包括未导出的。

CVE-2023-20914

  • 停止向受管理的配置文件用户授权READ_SMS权限。

CVE-2023-21104

  • applySyncTransaction接口必须要求具有MANAGE_ACTIVITY_TASKS权限才能调用。

CVE-2023-20930

  • 限制应用允许添加的最大ShortCut个数。

CVE-2023-21116

  • 禁止将预装应用降级到比预装的版本还低的情况。

CVE-2023-21110

  • 修复同CVE-2023-20993

System

CVE-2022-20444

  • 没有trustedOverlay标志的Toast不应接收输入，同时不允许有任何子窗口。

CVE-2023-21107

  • 必须使用INTERACT_ACROSS_USERS_FULL权限来跨用户访问通知内容，当然还要有通知使用权的权限。

CVE-2023-21112

  • NFC模块NxpMfcReader文件的AnalyzeMfcResp中的越界读取。

CVE-2023-21118

  • SensorManager里面内存泄露和内存对齐的问题。

CVE-2023-21103

CVE-2023-21111

  • PhoneAccount中的各种限制，解决DoS的问题，最近这种问题似乎有很多。

已发布

分类

来自

小路

标签：