CVE-2018-15003

Los dispositivos Android de Coolpad Defiant (Coolpad/cp3632a/cp3632a:7.1.1/NMF26F/099480857:user/release-keys) y T-Mobile Revvl Plus (Coolpad/alchemy/alchemy:7.1.1/143.14.171129.3701A-TMO/buildf_nj_02-206:user/release-keys) contienen una aplicación de plataforma preinstalada con un nombre de paquete com.qualcomm.qti.telephony.extcarrierpack (versionCode=25, versionName=7.1.1) que contiene un componente exportado de la aplicación del receptor de difusión denominado com.qualcomm.qti.telephony.extcarrierpack.UiccReceiver, el cual permite que cualquier aplicación dentro del dispositivo ejecute un restablecimiento de fábrica por programación. Además, la aplicación que inicia el restablecimiento de fábrica no requiere ningún permiso. Un restablecimiento de fábrica suprimirá todos los datos de usuario y aplicaciones del dispositivo. Esto resultará en la pérdida de cualquier dato que no haya sido respaldado o sincronizado externamente. La capacidad para realizar un restablecimiento de fábrica no está disponible directamente para aplicaciones de terceros (aquellas que el usuario se instala solo con la excepción de las aplicaciones de Mobile Device Management (MDM) habilitadas), mientras esta capacidad se puede obtener mediante el aprovechamiento de un componente de aplicación no protegido de una aplicación de plataforma preinstalada.