- Son 7 gün
- CWE-862
CVE-2026-114356
DJI CrystalSky ZS600C DJIUpdateService bileşeninde yetkisiz ayrıcalıklı işlem erişimi
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- NCSC.ch
ÖzetTürkçe
Android üzerinde çalışan DJI CrystalSky ZS600C donanım yazılımı v0.3.9.7 ile v0.6.6.9 arasındaki sürümlerde, sistem ayrıcalıklarıyla çalışan 'DJIUpdateService' binder bileşeninde yetkilendirme eksikliği bulunmaktadır. Bu durum, hiçbir izne sahip olmayan yerel bir uygulamanın, kullanıcı verilerini silen fabrika ayarlarına dönme (işlem 153), kapatma (105), saat/saat dilimi değiştirme (101/123) ve donanım yazılımı uygulama aktarımı (151) dahil ayrıcalıklı işlemleri çağırmasına olanak tanımaktadır. Sorunun kaynağı, onTransact fonksiyonunun çağıran kimliğini veya izinlerini kontrol etmemesidir.
Kaynaktaki açıklama (İngilizce)
Missing authorization in the system-privileged 'DJIUpdateService' binder in DJI CrystalSky ZS600C firmware v0.3.9.7 through v0.6.6.9 on Android allows a local application with no permissions to invoke privileged operations, including factory reset with user-data wipe (transaction 153), shutdown (105), clock/timezone change (101/123), and the firmware-apply hand-off (151), because onTransact() performs no caller-identity or permission check.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| DJI CrystalSky ZS600C | ≥ 0.3.9.7, ≤ 0.6.6.9 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.