SQL injection trong Android Contacts Provider có thể làm lộ cơ sở dữ liệu danh bạ

Trong Contacts Provider, có một cách có thể truy cập cơ sở dữ liệu danh bạ do SQL injection. Điều này có thể dẫn đến việc tiết lộ thông tin cục bộ mà không cần thêm đặc quyền thực thi. Không cần người dùng tương tác để khai thác.

• Android, sản phẩm Android: bản ghi chuẩn hóa đánh dấu phiên bản 17 là bị ảnh hưởng và đặt trạng thái mặc định là không bị ảnh hưởng đối với các phiên bản không được liệt kê.
• Bản tin Android nêu rằng các thiết bị chạy Android 17 với mức bản vá bảo mật 2026-07-01 hoặc mới hơn đã xử lý tất cả vấn đề trong các ghi chú phát hành đó.
• Thiết bị thuộc nhánh bị ảnh hưởng nhưng chưa đạt mức bản vá 2026-07-01 nên được xem là có khả năng bị ảnh hưởng cho đến khi trạng thái cập nhật từ OEM hoặc nhà mạng được xác nhận. Bằng chứng hiện có không xác định ranh giới ảnh hưởng cho các nhánh Android khác.

Lỗi đã được xác nhận là SQL injection trong Contacts Provider. SQL injection thường xảy ra khi dữ liệu đầu vào được đưa vào truy vấn cơ sở dữ liệu mà không tách biệt đầy đủ giữa dữ liệu và cú pháp truy vấn; tuy nhiên, bản ghi không nêu rõ thao tác của provider, URI, tham số, cách xây dựng truy vấn hoặc lỗi xác thực cụ thể, nên các chi tiết triển khai này vẫn chưa được biết. Giá trị do kẻ tấn công kiểm soát là loại đầu vào được suy ra từ mô tả, nhưng điểm tiếp nhận chính xác chưa được công bố. Kết quả được xác nhận là có thể truy cập cơ sở dữ liệu danh bạ và làm lộ thông tin cục bộ. Các đánh giá khả năng khai thác được cung cấp không thống nhất về việc lỗi có thể bị khai thác qua mạng mà không cần đặc quyền hay chỉ có thể khai thác cục bộ với đặc quyền thấp, vì vậy không nên coi riêng mô hình nào là đã được xác nhận độc lập.

Bản ghi cho biết không cần người dùng tương tác và không cần thêm đặc quyền thực thi để khai thác. Một đánh giá mô hình hóa khả năng truy cập qua mạng mà không cần đặc quyền, trong khi một đánh giá khác mô hình hóa truy cập cục bộ với đặc quyền thấp; phạm vi tiếp cận thực tế vì vậy vẫn chưa được giải quyết hoàn toàn. Bản tin Android phân loại lỗi này là tiết lộ thông tin. Bản tin cũng nêu rằng chưa có báo cáo về việc khách hàng đang bị khai thác hoặc lạm dụng đối với các lỗi mới được báo cáo trong phạm vi của bản tin đó. Bản ghi được cung cấp không xác định public exploit nào; điều này không chứng minh rằng không tồn tại exploit công khai.

Tác động được xác nhận là khả năng tiết lộ dữ liệu trong cơ sở dữ liệu danh bạ. Điều này có thể làm lộ thông tin liên hệ lưu trên thiết bị và ảnh hưởng đến quyền riêng tư hoặc phạm vi dữ liệu mà tổ chức phải bảo vệ. Một đánh giá được cung cấp mô hình hóa tác động cao đến tính bí mật, toàn vẹn và khả dụng, nhưng mô tả lỗ hổng chỉ xác nhận tiết lộ thông tin; không nên coi việc sửa đổi dữ liệu hoặc làm gián đoạn dịch vụ là tác động đã được chứng minh. Phạm vi quyền và khả năng tiếp cận thực tế cũng chưa được giải quyết do các đánh giá về truy cập qua mạng và cục bộ không thống nhất.

Lỗi có thể làm lộ dữ liệu trong danh bạ trên thiết bị Android, ảnh hưởng đến quyền riêng tư của người dùng và hoạt động đánh giá sự cố. Dữ liệu bị lộ có thể tạo ra rủi ro cho tổ chức nếu danh bạ chứa thông tin liên hệ nội bộ, khách hàng hoặc đối tác. Bản ghi không xác nhận rằng dữ liệu đã thực sự bị truy cập hoặc trích xuất, nên không được diễn giải như bằng chứng về một vụ rò rỉ đã xảy ra. Các tổ chức nên ưu tiên xác định thiết bị chưa được cập nhật và đánh giá khả năng tiếp cận Contacts Provider trong môi trường của mình.

1. Cài đặt bản cập nhật từ OEM hoặc nhà mạng đưa Android 17 lên mức bản vá bảo mật 2026-07-01 hoặc mới hơn. Bản tin Android xác nhận mức bản vá này xử lý các vấn đề trong các ghi chú phát hành liên quan.
2. Kiểm tra lại phiên bản Android và mức bản vá bảo mật sau khi cập nhật, đồng thời xác nhận thiết bị đã nhận đúng bản cập nhật thay vì chỉ kiểm tra trạng thái tải xuống.
3. Nếu thiết bị chưa thể đạt mức bản vá yêu cầu, tiếp tục xem thiết bị là có khả năng bị ảnh hưởng và phối hợp với OEM hoặc nhà mạng để xác định lộ trình cập nhật. Không có biện pháp giảm thiểu riêng nào được nêu trong bản ghi hoặc bản tin Android được cung cấp.

1. Kiểm kê các thiết bị Android, phiên bản hệ điều hành và mức bản vá bảo mật hiện tại.
2. Đối chiếu thiết bị với nhánh bị ảnh hưởng và xác nhận thiết bị đã nhận mức bản vá bảo mật được nêu trong hướng dẫn khắc phục.
3. Nếu có telemetry phù hợp, rà soát các hoạt động bất thường liên quan đến việc truy cập dữ liệu của Contacts Provider. Đây chỉ là biện pháp giám sát thận trọng vì không có chỉ báo xâm nhập cụ thể nào được cung cấp.
4. Không xem việc không có log bất thường là bằng chứng thiết bị an toàn; cần ưu tiên xác minh phiên bản và mức bản vá.