FICHE CVE

CVE-2023-20921

Publiée le 2023-01-26 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les appareils Android exécutant les versions 10 à 13 sont affectés par une erreur logique dans le service de gestion de l'accessibilité. Un attaquant local disposant d'un compte utilisateur standard peut exploiter cette faille pour s'octroyer automatiquement des permissions d'accessibilité de haut niveau, lui permettant ainsi de lire des données sensibles à l'écran ou d'effectuer des actions au nom de l'utilisateur. Cela nécessite que l'attaquant ait un accès local à l'appareil ainsi qu'une certaine forme d'interaction de la part de l'utilisateur pour déclencher l'exploitation.

CVSS 3.17.3 ÉLEVÉE

Type de faiblesse

CWE-670

Publiée2023-01-26

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

In onPackageRemoved of AccessibilityManagerService.java, there is a possibility to automatically grant accessibility services due to a logic error in the code. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is needed for exploitation.Product: AndroidVersions: Android-10 Android-11 Android-12 Android-12L Android-13Android ID: A-243378132