FICHE CVE

CVE-2023-20915

Publiée le 2023-01-26 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les appareils Android exécutant les versions 10 à 13 sont affectés par une erreur logique dans le système d'enregistrement des comptes téléphoniques. Une application malveillante déjà installée sur l'appareil peut exploiter cette faille pour activer un compte téléphonique à l'insu et sans le consentement de l'utilisateur, entraînant une élévation locale de privilèges. Cette attaque ne nécessite aucune interaction de l'utilisateur, mais exige que l'attaquant ait déjà réussi à s'implanter sur le système local.

CVSS 3.17.8 ÉLEVÉE

Type de faiblesse

CWE-670

Publiée2023-01-26

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

In addOrReplacePhoneAccount of PhoneAccountRegistrar.java, there is a possible way to enable a phone account without user interaction due to a logic error in the code. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.Product: AndroidVersions: Android-10 Android-11 Android-12 Android-12L Android-13Android ID: A-246930197