‹ Volver al listado

CVE-2014-7911

Estado: ModificadaAlta (7.2)—PoC
Gravedad7.2Alta · CVSS 2.0
Probabilidad de explotación23 %mayor que el 98 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoDisponiblePrueba de concepto en GitHub (no verificada)

luni/src/main/java/java/io/ObjectInputStream.java en la implementación java.io.ObjectInputStream en Android anterior a 5.0.0 no verifica que la deserialización resultará en un objeto que reunió los requisitos para la serialización, lo que permite a atacantes ejecutar código arbitrario a través de un método de finalizar para un objeto serializado en un paquete ArrayMap dentor de un intento enviado a system_service, tal y como fue demostrado por el método de finalizar de android.os.BinderProxy, también conocido como Bug 15874291.

CVSS

Puntuación base
7.2
Versión
2.0
Vector
AV:L/AC:L/Au:N/C:C/I:C/A:C

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
23 %
Percentil entre todas las CVEs puntuadas
98
Fecha de la puntuación
20/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Exploits públicos

Hay código de explotación o plantillas de detección públicos. No es lo mismo que explotación activa confirmada (KEV), pero aumenta el riesgo: parchee con prioridad.

⚠️ Las pruebas de concepto de GitHub no están verificadas: algunas son falsas o contienen malware. No las ejecute nunca fuera de un laboratorio aislado.

Tecnologías afectadas (1)

Google — Android

CWE

Referencias

Mostrar las 4 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2014-7911",
  "cveTags": [],
  "metrics": {
    "cvssMetricV2": [
      {
        "type": "Primary",
        "source": "nvd@nist.gov",
        "cvssData": {
          "version": "2.0",
          "baseScore": 7.2,
          "accessVector": "LOCAL",
          "vectorString": "AV:L/AC:L/Au:N/C:C/I:C/A:C",
          "authentication": "NONE",
          "integrityImpact": "COMPLETE",
          "accessComplexity": "LOW",
          "availabilityImpact": "COMPLETE",
          "confidentialityImpact": "COMPLETE"
        },
        "acInsufInfo": false,
        "impactScore": 10,
        "baseSeverity": "HIGH",
        "obtainAllPrivilege": false,
        "exploitabilityScore": 3.9,
        "obtainUserPrivilege": false,
        "obtainOtherPrivilege": false,
        "userInteractionRequired": false
      }
    ]
  },
  "affected": [
    {
      "source": "chrome-cve-admin@google.com",
      "affectedData": [
        {
          "vendor": "n/a",
          "product": "n/a",
          "versions": [
            {
              "status": "affected",
              "version": "n/a"
            }
          ]
        }
      ]
    }
  ],
  "published": "2014-12-15T18:59:15.520",
  "references": [
    {
      "url": "http://seclists.org/fulldisclosure/2014/Nov/51",
      "source": "chrome-cve-admin@google.com"
    },
    {
      "url": "https://android.googlesource.com/platform/libcore/+/738c833d38d41f8f76eb7e77ab39add82b1ae1e2",
      "source": "chrome-cve-admin@google.com"
    },
    {
      "url": "http://seclists.org/fulldisclosure/2014/Nov/51",
      "source": "af854a3a-2127-422b-91ae-364da2661108"
    },
    {
      "url": "https://android.googlesource.com/platform/libcore/+/738c833d38d41f8f76eb7e77ab39add82b1ae1e2",
      "source": "af854a3a-2127-422b-91ae-364da2661108"
    }
  ],
  "vulnStatus": "Modified",
  "weaknesses": [
    {
      "type": "Primary",
      "source": "nvd@nist.gov",
      "description": [
        {
          "lang": "en",
          "value": "CWE-264"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "luni/src/main/java/java/io/ObjectInputStream.java in the java.io.ObjectInputStream implementation in Android before 5.0.0 does not verify that deserialization will result in an object that met the requirements for serialization, which allows attackers to execute arbitrary code via a crafted finalize method for a serialized object in an ArrayMap Parcel within an intent sent to system_service, as demonstrated by the finalize method of android.os.BinderProxy, aka Bug 15874291."
    },
    {
      "lang": "es",
      "value": "luni/src/main/java/java/io/ObjectInputStream.java en la implementación java.io.ObjectInputStream en Android anterior a 5.0.0 no verifica que la deserialización resultará en un objeto que reunió los requisitos para la serialización, lo que permite a atacantes ejecutar código arbitrario a través de un método de finalizar para un objeto serializado en un paquete ArrayMap dentor de un intento enviado a system_service, tal y como fue demostrado por el método de finalizar de android.os.BinderProxy, también conocido como Bug 15874291."
    }
  ],
  "lastModified": "2026-06-17T00:15:55.907",
  "configurations": [
    {
      "nodes": [
        {
          "negate": false,
          "cpeMatch": [
            {
              "criteria": "cpe:2.3:o:google:android:*:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "53885773-16E2-4D30-BBA4-43F928098515",
              "versionEndIncluding": "4.4.4"
            },
            {
              "criteria": "cpe:2.3:o:google:android:1.0:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "0721FD34-5F94-4828-A8AA-EF70FAB71FC8"
            },
            {
              "criteria": "cpe:2.3:o:google:android:1.1:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "73CA4D29-321A-41ED-A75A-1EBB14A771C6"
            },
            {
              "criteria": "cpe:2.3:o:google:android:1.5:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "8C354829-6BEB-4C67-972A-60367073753C"
            },
            {
              "criteria": "cpe:2.3:o:google:android:1.6:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "702B40EB-76BC-4686-A46E-D02DBE3A86E7"
            },
            {
              "criteria": "cpe:2.3:o:google:android:2.0:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "4685EA90-1E01-4FFB-AE31-91FD5D69E2D8"
            },
            {
              "criteria": "cpe:2.3:o:google:android:2.0.1:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "938DC86D-C783-4EFA-9AB6-3ADC8CD7BB41"
            },
            {
              "criteria": "cpe:2.3:o:google:android:2.1:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "A33DBF65-09A6-4149-BABE-2FFFBF10C31D"
            },
            {
              "criteria": "cpe:2.3:o:google:android:2.2:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "78B69434-13B2-4A43-AEB0-55E0ED403E54"
            },
            {
              "criteria": "cpe:2.3:o:google:android:2.2:rev1:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "D1755B91-1B6B-4A9E-BB6B-22B399A6DD02"
            },
            {
              "criteria": "cpe:2.3:o:google:android:2.2.1:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "1A92E88F-CCED-41D7-AFB7-CE1F9265E546"
            },
            {
              "criteria": "cpe:2.3:o:google:android:2.2.2:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "D13D3A00-27A0-4635-9D50-05CA81950691"
            },
            {
              "criteria": "cpe:2.3:o:google:android:2.2.3:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "4EB959DB-AFE7-4667-9662-949ADAB81CE3"
            },
            {
              "criteria": "cpe:2.3:o:google:android:2.3:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "18669EEC-ABB9-4CE4-8C0E-A88BE08EC368"
            },
            {
              "criteria": "cpe:2.3:o:google:android:2.3:rev1:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "61D64B87-F1F1-4E52-86AE-F28E2C43A9A8"
            },
            {
              "criteria": "cpe:2.3:o:google:android:2.3.1:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "83AB2497-59DE-4253-A758-A3D03FAEB913"
            },
            {
              "criteria": "cpe:2.3:o:google:android:2.3.2:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "6E197EC0-82DF-49D5-BD1A-7EA22EC0B806"
            },
            {
              "criteria": "cpe:2.3:o:google:android:2.3.3:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "286EED24-E011-4009-BC2E-B63CA06072CE"
            },
            {
              "criteria": "cpe:2.3:o:google:android:2.3.4:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "D634E2E3-4E8A-4C88-A6BF-DBE7439EB3B0"
            },
            {
              "criteria": "cpe:2.3:o:google:android:2.3.5:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "77E6F4DF-F80F-4A9B-871E-155C0D3DD449"
            },
            {
              "criteria": "cpe:2.3:o:google:android:2.3.6:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "5CC08431-C70E-4964-B7C0-C9C45F70DCD2"
            },
            {
              "criteria": "cpe:2.3:o:google:android:2.3.7:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "3A2A79C6-A7BD-46C2-8320-B9652135F3BC"
            },
            {
              "criteria": "cpe:2.3:o:google:android:3.0:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "6997F035-D2F5-4174-B979-5D42FF69D9AC"
            },
            {
              "criteria": "cpe:2.3:o:google:android:3.1:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "E1FD2E59-59BF-4611-B65B-A2981127CAC0"
            },
            {
              "criteria": "cpe:2.3:o:google:android:3.2:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "86BFE05E-9749-43AA-8DB6-E2F13C2E1759"
            },
            {
              "criteria": "cpe:2.3:o:google:android:3.2.1:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "48DCE4AD-D629-4F0B-AFA8-6CAD061D5FA6"
            },
            {
              "criteria": "cpe:2.3:o:google:android:3.2.2:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "4DAAB25F-26E4-4493-B3DA-F87240633031"
            },
            {
              "criteria": "cpe:2.3:o:google:android:3.2.4:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "96CD6B49-B9D4-493E-902D-B4EF48260BB0"
            },
            {
              "criteria": "cpe:2.3:o:google:android:3.2.6:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "FB73EBA4-A9BE-4C40-9E6D-649E89D2C3F2"
            },
            {
              "criteria": "cpe:2.3:o:google:android:4.0:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "A39C31E3-75C0-4E92-A6B5-7D67B22E3449"
            },
            {
              "criteria": "cpe:2.3:o:google:android:4.0.1:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "BB318EA4-2908-4B91-8DBB-20008FDF528A"
            },
            {
              "criteria": "cpe:2.3:o:google:android:4.0.2:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "1F4E46A9-B652-47CE-92E8-01021E57724B"
            },
            {
              "criteria": "cpe:2.3:o:google:android:4.0.3:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "AB9B53C6-AE84-4A45-B83E-8E5CE44F7B93"
            },
            {
              "criteria": "cpe:2.3:o:google:android:4.0.4:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "36DD8E3F-6308-4680-B932-4CBD8E58A7FB"
            },
            {
              "criteria": "cpe:2.3:o:google:android:4.1:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "1DA9F0F7-D592-481E-884C-B1A94E702825"
            },
            {
              "criteria": "cpe:2.3:o:google:android:4.1.2:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "6CD857E7-B878-49F9-BDDA-93DDEBB0B42B"
            },
            {
              "criteria": "cpe:2.3:o:google:android:4.2:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "FBDABB6C-FFF9-4E79-9EF1-BDC0BBDEA9F1"
            },
            {
              "criteria": "cpe:2.3:o:google:android:4.2.1:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "A47AB858-36DE-4330-8CAC-1B46C5C8DA80"
            },
            {
              "criteria": "cpe:2.3:o:google:android:4.2.2:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "49413FF7-7910-4F74-B106-C3170612CB2A"
            },
            {
              "criteria": "cpe:2.3:o:google:android:4.3:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "A2467F65-A3B7-4E45-A9A5-E5A6EFD99D7B"
            },
            {
              "criteria": "cpe:2.3:o:google:android:4.3.1:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "A8882E50-7C49-4A99-91F2-DF979CF8BB2F"
            },
            {
              "criteria": "cpe:2.3:o:google:android:4.4:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "98C32982-095C-4628-9958-118A3D3A9CAA"
            },
            {
              "criteria": "cpe:2.3:o:google:android:4.4.1:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "8FC0FCEA-0B3D-43C1-AB62-4F9C880B4CA1"
            },
            {
              "criteria": "cpe:2.3:o:google:android:4.4.2:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "EC75ED04-B8C7-4CC0-AC64-AE2D9E0CDF5D"
            },
            {
              "criteria": "cpe:2.3:o:google:android:4.4.3:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "FC13D3EE-CC89-4883-8E3D-3FE25FB8CF42"
            }
          ],
          "operator": "OR"
        }
      ]
    }
  ],
  "sourceIdentifier": "chrome-cve-admin@google.com"
}