Apple iOS/iPadOS CoreAudio Information Disclosure

EintraganpassenHistoryDiffjsonxmlCTI
CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
6.0$5k-$25k0.00

In Apple iOS sowie iPadOS - eine genaue Versionsangabe ist nicht möglich - (Smartphone Operating System) wurde eine Schwachstelle ausgemacht. Sie wurde als kritisch eingestuft. Es geht um eine unbekannte Funktion der Komponente CoreAudio. Mit der Manipulation mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-125. Das hat Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:

An out-of-bounds read was addressed with improved input validation. This issue is fixed in macOS Big Sur 11.0.1, tvOS 14.0, macOS Big Sur 11.1, Security Update 2020-001 Catalina, Security Update 2020-007 Mojave, watchOS 7.0, iOS 14.0 and iPadOS 14.0. Processing a maliciously crafted audio file may lead to arbitrary code execution.

Die Schwachstelle wurde am 14.12.2020 durch JunDong Xie und XingWei Lin in Form eines bestätigten Advisories (Website) an die Öffentlichkeit getragen. Eine eindeutige Identifikation der Schwachstelle wird seit dem 02.03.2020 mit CVE-2020-9960 vorgenommen. Die Ausnutzbarkeit gilt als leicht. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Es wird vorausgesetzt, dass das Opfer eine spezifische Handlung vornimmt. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt. Es muss davon ausgegangen werden, dass ein Exploit zur Zeit etwa USD $5k-$25k kostet (Preisberechnung vom 08.04.2021). Es kann davon ausgegangen werden, dass sich die Exploit-Preise für dieses Produkt in Zukunft steigend verhalten werden.

Ein Upgrade vermag dieses Problem zu beheben. Das Erscheinen einer Gegenmassnahme geschah sofort nach der Veröffentlichung der Schwachstelle. Apple hat offensichtlich unmittelbar reagiert.

Produktinfoanpassen

Typ

Hersteller

Name

CPE 2.3infoanpassen

CPE 2.2infoanpassen

CVSSv3infoanpassen

VulDB Meta Base Score: 6.3
VulDB Meta Temp Score: 6.0

VulDB Base Score: 6.3
VulDB Temp Score: 6.0
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv2infoanpassen

AVACAuCIA
🔍🔍🔍🔍🔍🔍
🔍🔍🔍🔍🔍🔍
🔍🔍🔍🔍🔍🔍
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfoanpassen

Klasse: Information Disclosure
CWE: CWE-125
ATT&CK: Unbekannt

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfoanpassen

Bedrohungslage: 🔍
Gegner: 🔍
Geopolitik: 🔍
Ökonomie: 🔍
Voraussagen: 🔍
Massnahmen: 🔍

Gegenmassnahmeninfoanpassen

Empfehlung: Upgrade
Status: 🔍

Reaktionszeit: 🔒
0-Day Time: 🔒
Exposure Time: 🔒

Timelineinfoanpassen

02.03.2020 CVE zugewiesen
14.12.2020 +287 Tage Advisory veröffentlicht
14.12.2020 +0 Tage Gegenmassnahme veröffentlicht
03.04.2021 +110 Tage VulDB Eintrag erstellt
08.04.2021 +5 Tage VulDB letzte Aktualisierung

Quelleninfoanpassen

Hersteller: https://www.apple.com/

Person: JunDong Xie/XingWei Lin
Status: Bestätigt

CVE: CVE-2020-9960 (🔒)
scip Labs: https://www.scip.ch/?labs.20150917

Eintraginfoanpassen

Erstellt: 03.04.2021 11:11
Aktualisierung: 08.04.2021 16:23
Anpassungen: (10) source_cve_nvd_summary software_type vulnerability_cvss2_vuldb_basescore vulnerability_cvss2_vuldb_tempscore vulnerability_cvss3_vuldb_basescore vulnerability_cvss3_vuldb_tempscore vulnerability_cvss3_meta_basescore vulnerability_cvss3_meta_tempscore exploit_price_0day exploit_price_trend
Komplett: 🔍

Kommentare

Do you need the next level of professionalism?

Upgrade your account now!