Az Egyesült Államok Kiberbiztonsági és Infrastruktúra-biztonsági Ügynöksége (CISA) figyelmeztetést adott ki, a Pinduoduo androidos alkalmazásban feltehetően aktívan kihasznált, súlyos besorolású nulladik napi sebezhetőség miatt.
Az Android Framework biztonsági hibájának (CVE-2023-20963) kihasználása felhasználói interakció nélküli jogosultságkiterjesztést tesz lehetővé a támadók számára a sérülékeny eszközökön. A Google még a március elején kiadott biztonsági frissítőcsomagjában javította a sérülékenységet, annak korlátozott és célzott kihasználtsága miatt.
A Google márciusban adatvédelmi aggályok miatt felfüggesztette a Pinduodou alkalmazást a Play Áruházból, miután nem hivatalos alkalmazásboltokban felfedezték az app rosszindulatú verzióit. Nem sokkal később a Kaspersky kutatói az alkalmazás olyan verzióit is felfedezték az alkalmazásnak, amelyek – jogosultságkiterjesztés, valamint a felhasználók utáni kémkedés céljából – kihasználják a CVE-2023-20963 számon nyomon követett sebezhetőséget.
A szövetségi ügynökségek (FCEB) május 2-ig kaptak időt a frissítések elvégzésére, azonban minden érintett felhasználó számára javasolt a frissítések mielőbbi telepítése vagy az alkalmazás eltávolítása az eszközről. Emellett a CISA azt is elrendelte a szövetségi ügynökségek számára, hogy legkésőbb május 1-ig frissítsék az iPhone és Mac eszközeiket, azok két nulladik napi sérülékenysége miatt.
