CVE-2018-14993

El dispositivo Android ASUS Zenfone V Live con una huella digital de compilación asus/VZW_ASUS_A009/ASUS_A009:7.1.1/NMF26F/14.0610.1802.78-20180313:user/release-keys y el dispositivo Android Asus ZenFone 3 Max con una huella digital de compilación asus/US_Phone/ASUS_X008_1:7.0/NRD90M/US_Phone-14.14.1711.92-20171208:user/release-keys, ambos contienen una aplicación de plataforma preinstalada con el nombre del paquete com.asus.splendidcommandagent (versionCode=1510200090, versionName=1.2.0.18_160928) que contiene un servicio exportado denominado com.asus.splendidcommandagent.SplendidCommandAgentService que permite que cualquier aplicación dentro del dispositivo realice comandos arbitrarios para ser ejecutados como usuario del sistema. Esta aplicación no puede ser desactivada por el usuario y el ataque puede ser realizado por una aplicación de cero permisos. La ejecución de comandos como usuario del sistema puede permitir a una aplicación de terceros grabar en video la pantalla del usuario, restaurar el dispositivo de fábrica, obtener las notificaciones del usuario, leer los registros de logcat, inyectar eventos en la Interfaz Gráfica de Usuario (GUI), cambiar el Método de Entrada por defecto Editor (IME) (por ejemplo, teclado) con un contenido dentro de la aplicación de ataque que comprende la funcionalidad de registro de teclas, conseguir los mensajes de texto del usuario y más.