NVD Vulnerability Detail

CVE-2015-3860

Summary	packages/Keyguard/res/layout/keyguard_password_view.xml in Lockscreen in Android 5.x before 5.1.1 LMY48M does not restrict the number of characters in the passwordEntry input field, which allows physically proximate attackers to bypass intended access restrictions via a long password that triggers a SystemUI crash, aka internal bug 22214934.
Publication Date	Oct. 1, 2015, 9:59 a.m.
Registration Date	Jan. 26, 2021, 2:50 p.m.
Last Update	Nov. 21, 2024, 11:29 a.m.

Affected software configurations

Configuration1		or higher	or less	more than	less than
cpe:2.3:o:google:android::::::::			5.1

Related information, measures and tools

No	URL	タグ
1	http://sites.utexas.edu/iso/2015/09/15/android-5-lockscreen-bypass/	Exploit
2	http://sites.utexas.edu/iso/2015/09/15/android-5-lockscreen-bypass/	Exploit
3	https://android.googlesource.com/platform/frameworks/base/+/8fba7e6931245a17215e0e740e78b45f6b66d590	Vendor Advisory
4	https://android.googlesource.com/platform/frameworks/base/+/8fba7e6931245a17215e0e740e78b45f6b66d590	Vendor Advisory
5	https://code.google.com/p/android/issues/detail?id=178139	Exploit
6	https://code.google.com/p/android/issues/detail?id=178139	Exploit
7	https://groups.google.com/forum/message/raw?msg=android-security-updates/1M7qbSvACjo/Y7jewiW1AwAJ	Vendor Advisory
8	https://groups.google.com/forum/message/raw?msg=android-security-updates/1M7qbSvACjo/Y7jewiW1AwAJ	Vendor Advisory

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-284	不適切なアクセス制御	https://cwe.mitre.org/data/definitions/284.html

JVN Vulnerability Information

Android のロックスクリーンの packages/Keyguard/res/layout/keyguard_password_view.xml におけるアクセス制限を回避される脆弱性

Title	Android のロックスクリーンの packages/Keyguard/res/layout/keyguard_password_view.xml におけるアクセス制限を回避される脆弱性
Summary	Android のロックスクリーンの packages/Keyguard/res/layout/keyguard_password_view.xml は、passwordEntry 入力フィールドの文字数を制限しないため、アクセス制限を回避される脆弱性が存在します。ベンダは、本脆弱性を Bug: 22214934 として公開しています。補足情報 : CWE による脆弱性タイプは、CWE-284: Improper Access Control (不適切なアクセス制御) と識別されています。 http://cwe.mitre.org/data/definitions/284.html Impact
Possible impacts	物理的に端末の操作が可能な攻撃者により、SystemUI クラッシュを誘発する過度に長いパスワードを介して、アクセス制限を回避される可能性があります。
Solution	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date	Aug. 13, 2015, midnight
Registration Date	Oct. 2, 2015, 5:08 p.m.
Last Update	Oct. 2, 2015, 5:08 p.m.

Affected System

Google

Android Android 5.1.1 (LMY48M) 未満の 5.x

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2015-3860	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3860
National Vulnerability Database (NVD)
2	CVE-2015-3860	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3860

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-Other	https://www.ipa.go.jp/security/vuln/CWE.html#CWEOther

ベンダー情報

No	Name	URL
Google
1	Bug: 22214934	https://android.googlesource.com/platform/frameworks/base/+/8fba7e6931245a17215e0e740e78b45f6b66d590
Google Code
2	Issue 178139	https://code.google.com/p/android/issues/detail?id=178139
Google Groups
3	Nexus Security Bulletin (September 2015)	https://groups.google.com/forum/message/raw?msg=android-security-updates/1M7qbSvACjo/Y7jewiW1AwAJ

その他

No	Name	URL
関連文書
1	Android 5.x Lockscreen Bypass (CVE-2015-3860)	http://sites.utexas.edu/iso/2015/09/15/android-5-lockscreen-bypass/

Change Log

No	Changed Details	Date of change
0	[2015年10月02日] 掲載	Feb. 17, 2018, 10:37 a.m.