Klapp App Authorization Credentials Information Disclosure

Zusammenfassunginfo

Es wurde eine Schwachstelle in Klapp App entdeckt. Sie wurde als problematisch eingestuft. Davon betroffen ist unbekannter Code der Komponente Authorization. Dank Manipulation mit unbekannten Daten kann eine Information Disclosure-Schwachstelle (Credentials) ausgenutzt werden. Die Identifikation der Schwachstelle wird mit CVE-2020-36532 vorgenommen. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Es existiert kein Exploit. Ein Upgrade der betroffenen Komponente wird empfohlen.

Detailsinfo

In Klapp App - eine genaue Versionsangabe ist nicht möglich - wurde eine problematische Schwachstelle gefunden. Betroffen ist ein unbekannter Teil der Komponente Authorization. Durch Manipulieren mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle (Credentials) ausgenutzt werden. CWE definiert das Problem als CWE-200. Dies wirkt sich aus auf die Vertraulichkeit.

Am 18.08.2020 wurde das Problem entdeckt. Die Schwachstelle wurde am 07.09.2020 durch Sven Fassbender von modzero AG als Knapp daneben ist auch vorbei in Form eines bestätigten Advisories (Website) an die Öffentlichkeit getragen. Auf modzero.com kann das Advisory eingesehen werden. Die Veröffentlichung wurde in Zusammenarbeit mit dem Hersteller durchgeführt. Eine eindeutige Identifikation der Schwachstelle wird mit CVE-2020-36532 vorgenommen. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Das Angehen einer einfachen Authentisierung ist erforderlich, um eine Ausnutzung anzugehen. Nicht vorhanden sind sowohl technische Details als auch ein Exploit zur Schwachstelle. MITRE ATT&CK führt die Angriffstechnik T1592 für diese Schwachstelle.

Insgesamt 6 Tage schien es sich um eine nicht veröffentlichte Zero-Day Schwachstelle gehandelt zu haben. Während dieser Zeit erzielte er wohl etwa $0-$5k auf dem Schwarzmarkt.

Ein Upgrade vermag dieses Problem zu beheben. Das Erscheinen einer Gegenmassnahme geschah schon vor und nicht nach der Veröffentlichung der Schwachstelle. Klapp hat folglich vorab reagiert.

Die Einträge VDB-160763 sind sehr ähnlich. If you want to get best quality of vulnerability data, you may have to visit VulDB.

Produktinfo

Hersteller

• Klapp

Name

• App

CPE 2.3info

• 🔍
• 🔍

CPE 2.2info

• 🔍
• 🔍

CVSSv4info

CVSSv3info

CVSSv2info

Exploitinginfo

Threat Intelligenceinfo

Gegenmassnahmeninfo

Timelineinfo

Quelleninfo

Eintraginfo

If you want to get best quality of vulnerability data, you may have to visit VulDB.

Diskussion