本站点使用cookies,继续浏览表示您同意我们使用cookies。Cookies和隐私政策>

安全预警 - 涉及华为部分手机产品的UAF漏洞

  • 预警编号:huawei-sa-20190109-01-smartphone
  • 初始发布时间: 2019年01月09日
  • 更新发布时间: 2020年06月10日

华为部分手机产品某驱动程序存在一个Use After Free (UAF)漏洞。攻击者诱使用户安装恶意手机应用,该应用可触发访问某些已被释放的内存,成功利用此漏洞可使手机拒绝服务。 (漏洞编号:HWPSIRT-2018-11014)

此漏洞的CVE编号为: CVE-2019-5214.

华为已发布版本修复该漏洞。安全预警链接:

http://www.huawei.com/cn/psirt/security-advisories/huawei-sa-20190109-01-smartphone-cn


产品名称

版本号

修复版本号

Mate 10

9.0.0.167(C00E85R2P20T8) 及之前版本

9.0.0.167(C00E85R2P20T8)

9.0.0.201(C432E4R1P9) 及之前版本

9.0.0.201(C432E4R1P9)

9.0.0.192(C185E2R1P12) 及之前版本

9.0.0.192(C185E2R1P12)

9.0.0.194(C636E2R1P12) 及之前版本

9.0.0.194(C636E2R1P12)

Mate 10 Pro

9.0.0.167(C00E87R2P15T8) 及之前版本

9.0.0.167(C00E87R2P15T8)

9.0.0.206(C432E4R1P11) 及之前版本

9.0.0.206(C432E4R1P11)

9.0.0.194(C185E2R1P13) 及之前版本

9.0.0.194(C185E2R1P13)

9.0.0.200(C636E2R1P13) 及之前版本

9.0.0.200(C636E2R1P13)

荣耀 V10

9.0.0.125(C00E125R2P14T8) 及之前版本

9.0.0.125(C00E125R2P14T8)

9.0.0.159(C432E4R1P9T8) 及之前版本

9.0.0.159(C432E4R1P9T8)

9.0.0.159(C636E3R1P12T8) 及之前版本

9.0.0.159(C636E3R1P12T8)

9.0.0.160(C10E2R1P12T8) 及之前版本

9.0.0.160(C10E2R1P12T8)

P20

9.0.0.177(C185E2R1P12T8) 及之前版本

9.0.0.177(C185E2R1P12T8)

9.0.0.203(C432E7R1P11) 及之前版本

9.0.0.203(C432E7R1P11)

9.0.1.176(C635E2R1P8T8) 及之前版本

9.0.1.176(C635E2R1P8T8)

成功利用此漏洞可使手机拒绝服务。


漏洞使用CVSSv3计分系统进行分级(http://www.first.org/cvss/specification-document

基础得分:4.2 (AV:L/AC:L/PR:H/UI:R/S:U/C:N/I:N/A:H)

临时得分:3.9 (E:F/RL:O/RC:C)


利用漏洞发起攻击的预置条件:

攻击者诱使用户安装恶意手机应用

漏洞详细描述:

攻击者诱使用户安装恶意手机应用,该应用可触发访问某些已被释放的内存,成功利用此漏洞可使手机拒绝服务。


支持自动更新的手机会收到系统更新提示,手机用户通过执行系统更新,完成对漏洞的修复。


该漏洞由华为内部测试发现。


2020-06-10 V1.1 UPDATED 刷新受影响产品版本和修复信息;

2019-01-09 V1.0 INITIAL

华为一贯主张尽全力保障产品用户的最终利益,遵循负责任的安全事件披露原则,并通过产品安全问题处理机制处理产品安全问题。

获取华为公司安全应急响应服务及华为产品漏洞信息,请访问http://www.huawei.com/cn/psirt
反馈华为产品和解决方案安全问题,请反馈至华为PSIRT邮箱PSIRT@huawei.com,详情参考http://www.huawei.com/cn/psirt/report-vulnerabilities

本文件按“原样”提供,不承诺任何明示、默示和法定的担保,包括(但不限于)对适销性、适用性及不侵权的担保。 在任何情况下,华为技术有限公司,或其直接或间接控制的子公司,或其供应商,对任何损失,包括直接,间接,偶然,必然的商业利润损失或特殊损失均不承担责任。您以任何方式使用本文件所产生的一切法律责任由您自行承担。华为可以随时对本文件所载的内容和信息进行修改或更新。