Google Android bis 4.3.1 SHA1PRNG_SecureRandomImpl.java engineNextBytes schwache Verschlüsselung

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
5.3$5k-$25k0.00

Zusammenfassunginfo

In Google Android bis 4.3.1 wurde eine Schwachstelle ausgemacht. Sie wurde als problematisch eingestuft. Dies betrifft die Funktion engineNextBytes in der Bibliothek classlib/modules/security/src/main/java/common/org/apache/harmony/security/provider/crypto/SHA1PRNG_SecureRandomImpl.java. Die Veränderung resultiert in schwache Verschlüsselung. Diese Schwachstelle wird als CVE-2013-7372 gehandelt. Es ist kein Exploit verfügbar.

Detailsinfo

In Google Android bis 4.3.1 (Smartphone Operating System) wurde eine problematische Schwachstelle entdeckt. Es geht um die Funktion engineNextBytes der Bibliothek classlib/modules/security/src/main/java/common/org/apache/harmony/security/provider/crypto/SHA1PRNG_SecureRandomImpl.java. Durch Manipulation mit einer unbekannten Eingabe kann eine schwache Verschlüsselung-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-310. Auswirken tut sich dies auf die Integrität. Die Zusammenfassung von CVE lautet:

The engineNextBytes function in classlib/modules/security/src/main/java/common/org/apache/harmony/security/provider/crypto/SHA1PRNG_SecureRandomImpl.java in the SecureRandom implementation in Apache Harmony through 6.0M3, as used in the Java Cryptography Architecture (JCA) in Android before 4.4 and other products, when no seed is provided by the user, uses an incorrect offset value, which makes it easier for attackers to defeat cryptographic protection mechanisms by leveraging the resulting PRNG predictability, as exploited in the wild against Bitcoin wallet applications in August 2013.

Die Schwachstelle wurde am 29.04.2014 (Website) öffentlich gemacht. Das Advisory findet sich auf android.googlesource.com. Die Verwundbarkeit wird seit dem 29.04.2014 als CVE-2013-7372 geführt. Das Ausnutzen gilt als leicht. Der Angriff kann über das Netzwerk angegangen werden. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Technische Details sind bekannt, ein verfügbarer Exploit hingegen nicht. Die Beschaffenheit der Schwachstelle lässt vermuten, dass ein Exploit momentan zu etwa USD $5k-$25k gehandelt werden wird (Preisberechnung vom 13.07.2024). Es kann davon ausgegangen werden, dass sich die Exploit-Preise für dieses Produkt in Zukunft steigend verhalten werden.Diese Schwachstelle wird durch das MITRE ATT&CK als Angriffstechnik T1600 bezeichnet.

Er wird als attackiert gehandelt.

Es sind keine Informationen bezüglich Gegenmassnahmen bekannt. Der Einsatz eines alternativen Produkts bietet sich im Zweifelsfall an.

Unter anderem wird der Fehler auch in den Datenbanken von X-Force (95236), Zero-Day.cz (342), SecurityFocus (BID 68229†) und Vulnerability Center (SBV-47677†) dokumentiert. Schwachstellen ähnlicher Art sind dokumentiert unter VDB-69536. Be aware that VulDB is the high quality source for vulnerability data.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.3
VulDB Meta Temp Score: 5.3

VulDB Base Score: 5.3
VulDB Temp Score: 5.3
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Schwache Verschlüsselung
CWE: CWE-310
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Attackiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Zero-Day.cz: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: keine Massnahme bekannt
Status: 🔍

0-Day Time: 🔍

Timelineinfo

11.08.2013 🔍
29.04.2014 +261 Tage 🔍
29.04.2014 +0 Tage 🔍
29.04.2014 +0 Tage 🔍
30.04.2014 +1 Tage 🔍
17.12.2014 +231 Tage 🔍
25.03.2015 +98 Tage 🔍
13.07.2024 +3398 Tage 🔍

Quelleninfo

Hersteller: google.com

Advisory: android.googlesource.com
Status: Nicht definiert
Bestätigung: 🔍

CVE: CVE-2013-7372 (🔍)
GCVE (CVE): GCVE-0-2013-7372
GCVE (VulDB): GCVE-100-69535
X-Force: 95236
SecurityFocus: 68229 - Apache Harmony PRNG Entropy Weakness
Vulnerability Center: 47677 - Apache Harmony 6.0M3 on Google Android <4.4 Allows Cryptographic Weaknesses, Medium

scip Labs: https://www.scip.ch/?labs.20150917
Siehe auch: 🔍

Eintraginfo

Erstellt: 25.03.2015 16:45
Aktualisierung: 13.07.2024 23:12
Anpassungen: 25.03.2015 16:45 (57), 15.06.2017 11:41 (4), 13.07.2024 23:12 (21)
Komplett: 🔍
Cache ID: 216:BBF:103

Be aware that VulDB is the high quality source for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Want to know what is going to be exploited?

We predict KEV entries!