Lỗ hổng từ chối dịch vụ trong dịch vụ rung của Huawei HarmonyOS và EMUI

Lỗ hổng DoS trong dịch vụ rung. Tác động: Khai thác thành công lỗ hổng này có thể ảnh hưởng đến tính khả dụng.

Record chuẩn hóa đánh dấu default_status là unaffected cho cả hai sản phẩm; chỉ các version được nêu rõ dưới đây được xác nhận là affected:

• Huawei Harmony OS: 4.3.1, 4.3.0, 4.2.0, 4.0.0.
• Huawei EMUI: 15.0.0, 14.2.0, 14.0.0.
• Thông báo bảo mật của Huawei dành cho điện thoại và máy tính bảng liệt kê cùng các nhánh HarmonyOS và EMUI này. Một thông báo riêng cho HUAWEI Vision chỉ liệt kê HarmonyOS4.3.0; bằng chứng hiện có không mở rộng phạm vi Vision đó sang các version khác.

Không có thông tin xác nhận rằng các version không được liệt kê là affected hoặc rằng một version cụ thể là fixed.

Lỗ hổng nằm trong vibration service và được phân loại là CWE-789, tức cấp phát bộ nhớ với giá trị kích thước quá lớn. Hồ sơ hiện có không công bố input cụ thể, đường dẫn xử lý, điều kiện cấp phát hoặc hành vi lỗi chính xác trong implementation. Dữ liệu đánh giá cho biết đường tấn công có thể đi qua network, không yêu cầu privileges và cần user interaction; attack complexity được mô tả là thấp. Việc một giá trị kích thước do attacker kiểm soát hoặc ảnh hưởng gây cấp phát quá lớn là khả năng phù hợp với lớp lỗi này, nhưng chưa được xác nhận như một exploit path cụ thể. Hậu quả được công bố là DoS có thể ảnh hưởng đến availability.

Hồ sơ mô tả lỗ hổng có thể bị tiếp cận qua network, không yêu cầu authentication hoặc privileges, có attack complexity thấp và cần user interaction. public_exploit được đặt là false trong record, nên hiện không có public exploit được ghi nhận trong dữ liệu cung cấp. Trạng thái khai thác thực tế không được xác định vì trường known_exploited là null. Không có exploit steps, payload, chiến dịch, nạn nhân hoặc chỉ dấu khai thác cụ thể nào được công bố.

Lỗ hổng có thể dẫn đến denial of service trong vibration service và ảnh hưởng đến availability của thiết bị. Theo các thuộc tính kỹ thuật trong record, confidentiality và integrity không bị ảnh hưởng trực tiếp, scope không thay đổi và không cần privileges để thực hiện đường tấn công được mô tả. Việc khai thác vẫn cần user interaction, nên tác động thực tế phụ thuộc vào cách thiết bị và dịch vụ được sử dụng. Hồ sơ không xác nhận thiết bị bị chiếm quyền, leo thang đặc quyền, tiết lộ dữ liệu hoặc sửa đổi dữ liệu.

• Thiết bị hoặc dịch vụ rung có thể bị gián đoạn, làm giảm availability của thiết bị.
• Tổ chức có thể phải xử lý các thiết bị hoạt động không ổn định, gián đoạn chức năng và tăng chi phí hỗ trợ nếu việc khai thác xảy ra.
• Hồ sơ không cho thấy tác động trực tiếp đến confidentiality hoặc integrity, cũng không xác nhận privilege escalation.
• Không có bằng chứng trong dữ liệu hiện có về breach, chiến dịch tấn công hoặc mất dữ liệu.

1. Cài security update phù hợp của Huawei cho từng thiết bị và deployment bị ảnh hưởng, theo hướng dẫn phát hành của Huawei.
2. Kiểm tra lại version sau khi cập nhật và lưu bằng chứng inventory cho từng nhánh HarmonyOS hoặc EMUI. Không suy ra rằng mọi version mới hơn đều đã được sửa, vì record không cung cấp fixed release theo từng branch.
3. Nếu chưa thể cập nhật, áp dụng các network control tạm thời phù hợp với kiến trúc triển khai để giảm khả năng tiếp cận từ network, nhưng cần coi đây là biện pháp giảm thiểu chung chứ không phải workaround do Huawei xác nhận.
4. Không có solution text hoặc workaround cụ thể nào được cung cấp trong record; trạng thái bản vá cho các branch không được liệt kê vẫn chưa được xác minh.

• Kiểm kê các thiết bị Huawei đang chạy HarmonyOS hoặc EMUI và đối chiếu chính xác version với các nhánh bị ảnh hưởng.
• Kiểm tra trạng thái cài đặt security update của Huawei trên các thiết bị sử dụng vibration service.
• Tách riêng việc đánh giá cho điện thoại/máy tính bảng và HUAWEI Vision, vì thông báo của Huawei không liệt kê cùng một phạm vi triển khai cho mọi sản phẩm.
• Có thể xem xét việc giám sát lỗi hoặc gián đoạn bất thường của dịch vụ rung như một biện pháp phòng ngừa, nhưng hồ sơ không cung cấp log event hay IOC đã xác nhận.
• Không coi việc không thấy log hoặc cảnh báo là bằng chứng thiết bị an toàn.