Apple iOS तक 7.1.1 Email Attachment MobileMail.app कमजोर एन्क्रिप्शन

CVSS मेटा अस्थायी स्कोरवर्तमान एक्सप्लॉइट मूल्य (≈)CTI रुचि स्कोर
3.3$0-$5k0.00

सारांशजानकारी

एक भेद्यता जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, Apple iOS तक 7.1.1 में खोजी गई है। प्रभावित किया गया है एक अज्ञात फ़ंक्शन फ़ाइल MobileMail.app का घटक Email Attachment Handler का। हेरफेर के कारण कमजोर एन्क्रिप्शन होती है। इस संवेदनशीलता को CVE-2014-1348 के रूप में जाना जाता है। इसके अलावा, एक शोषण उपलब्ध है.

विवरणजानकारी

एक भेद्यता जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, Apple iOS तक 7.1.1 में खोजी गई है। प्रभावित किया गया है एक अज्ञात फ़ंक्शन फ़ाइल MobileMail.app का घटक Email Attachment Handler का। हेरफेर के कारण कमजोर एन्क्रिप्शन होती है। समस्या को घोषित करने के लिए CWE का उपयोग करने से CWE-310 की ओर ले जाता है। यह कमजोरी प्रकाशित हुई थी 23/04/2014 द्वारा Andreas Kurtz के रूप में What Apple Missed to Fix in iOS 7.1.1 के रूप में Blog Post (वेबसाइट). एडवाइजरी डाउनलोड के लिए andreas-kurtz.de पर साझा की गई है। सार्वजनिक प्रकटीकरण विक्रेता के साथ समन्वयित किया गया है।

इस संवेदनशीलता को CVE-2014-1348 के रूप में जाना जाता है। 08/01/2014 पर CVE आवंटित किया गया था. टेक्निकल जानकारी उपलब्ध है. यह भेद्यता सामान्य से अधिक लोकप्रिय है। इसके अलावा, एक शोषण उपलब्ध है. एक्सप्लॉइट को सार्वजनिक रूप से प्रकट किया गया है और इसका उपयोग किया जा सकता है। वर्तमान में एक एक्सप्लॉइट की कीमत might be approx. USD $0-$5k है। अगर T1600 की वैल्यू है, तो MITRE ATT&CK प्रोजेक्ट इस अटैक टेक्नीक को T1600 के रूप में घोषित करता है। एडवाइजरी में उल्लेख किया गया है:

(...) I shut down the device and accessed the file system using well-known techniques (DFU mode, custom ramdisk, SSH over usbmux). Finally, I mounted the iOS data partition and navigated to the actual email folder. Within this folder, I found all attachments accessible without any encryption/restriction.

इसे अवधारणा प्रमाण घोषित किया गया है। यह एक्सप्लॉइट andreas-kurtz.de पर डाउनलोड के लिए प्रकाशित किया गया है। 0-डे के तौर पर इसकी अनुमानित अवैध बाजार कीमत करीब $5k-$25k थी. एक्सप्लॉइट में प्रयुक्त कोड निम्नलिखित है:

# mount_hfs /dev/disk0s1s2 /mnt2

  1. cd /mnt2/mobile/Library/Mail/
    2. 



  1. xxd IMAP-MY_MAILADDRESS/INBOX.imapmbox/Attachments/4/2/my_file.pdf 
    2. 
0000000: 2550 4446 2d31 2e34 0a25 81e2 81e3 81cf  %PDF-1.4.%......
0000010: 81d3 5c72 0a31 2030 206f 626a 0a3c 3c0a  ..\r.1 0 obj.<<.
0000020: 2f43 7265 6174 696f 6e44 6174 6520 2844  /CreationDate (D
0000030: 3a32 3031 3330 3830 3532 3034 3830 3329  :20130805204803)
0000040: 0a2f 4d6f 6444 6174 6520 2844 3a32 3031  ./ModDate (D:201
0000050: 3330 3830 3532 3034 3830 3329 0a2f 5469  30805204803)./Ti
0000060: 746c 6520 2852 2047 7261 7068 6963 7320  tle (R Graphics 
0000070: 4f75 7470 7574 290a 2f50 726f 6475 6365  Output)./Produce
0000080: 7220 2852 2033 2e30 2e31 290a 2f43 7265  r (R 3.0.1)./Cre
0000090: 6174 6f72 2028 5229 0a3e 3e0a 656e 646f  ator (R).>>.endo
एडवाइजरी में यह उल्लेख किया गया है:
I reported these findings to Apple. They responded that they were aware of this issue, but did not state any date when a fix is to be expected.

कमज़ोरी अन्य कमज़ोरी डेटाबेस में भी प्रलेखित है: SecurityFocus (BID 67263) , X-Force (93048).

प्रभावित नहीं

  • Apple iOS तक 7.0.3

उत्पादजानकारी

प्रकार

विक्रेता

नाम

संस्करण

लाइसेंस

वेबसाइट

CPE 2.3जानकारी

CPE 2.2जानकारी

CVSSv4जानकारी

VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

CVSSv3जानकारी

VulDB मेटा बेस स्कोर: 3.6
VulDB मेटा अस्थायी स्कोर: 3.3

VulDB मूल स्कोर: 3.6
VulDB अस्थायी स्कोर: 3.3
VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

CVSSv2जानकारी

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
सदिशजटिलताप्रमाणीकरणगोपनीयताअखंडताउपलब्धता
अनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना
अनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना
अनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना

VulDB मूल स्कोर: 🔍
VulDB अस्थायी स्कोर: 🔍
VulDB विश्वसनीयता: 🔍

NVD मूल स्कोर: 🔍

शोषणजानकारी

वर्ग: कमजोर एन्क्रिप्शन
CWE: CWE-310
CAPEC: 🔍
ATT&CK: 🔍

भौतिक: आंशिक रूप से
स्थानीय: हाँ
दूरस्थ: नहीं

उपलब्धता: 🔍
प्रवेश: सार्वजनिक
स्थिति: अवधारणा प्रमाण
लेखक: Andreas Kurtz
प्रोग्रामिंग भाषा: 🔍
डाउनलोड: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

मूल्य पूर्वानुमान: 🔍
वर्तमान मूल्य अनुमान: 🔍

0-Dayअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना
आजअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना

खतरे की खुफियाजानकारी

रुचि: 🔍
सक्रिय अभिनेता: 🔍
सक्रिय APT समूह: 🔍

प्रतिव्यवस्थाजानकारी

सिफारिश: कोई शमन ज्ञात नहीं
स्थिति: 🔍

0-दिवसीय समय: 🔍
शोषण विलंब समय: 🔍

समयरेखाजानकारी

08/01/2014 🔍
23/04/2014 +105 दिन 🔍
23/04/2014 +0 दिन 🔍
06/05/2014 +13 दिन 🔍
07/05/2014 +1 दिन 🔍
01/07/2014 +55 दिन 🔍
19/06/2021 +2545 दिन 🔍

स्रोतजानकारी

विक्रेता: apple.com

सलाह: What Apple Missed to Fix in iOS 7.1.1
शोधकर्ता: Andreas Kurtz
स्थिति: परिभाषित नहीं
पुष्टि: 🔍
समन्वित: 🔍

CVE: CVE-2014-1348 (🔍)
GCVE (CVE): GCVE-0-2014-1348
GCVE (VulDB): GCVE-100-13148

IAVM: 🔍

X-Force: 93048 - Apple MobileMail.app information disclosure, Low Risk
SecurityFocus: 67263 - Apple iOS 'MobileMail.app' Local Information Disclosure Vulnerability
OSVDB: 106668
SecurityTracker: 1030500

scip Labs: https://www.scip.ch/en/?labs.20150917
विविध: 🔍
यह भी देखें: 🔍

प्रविष्टिजानकारी

बनाया गया: 06/05/2014 05:33 PM
अद्यतनित: 19/06/2021 10:18 AM
परिवर्तन: 06/05/2014 05:33 PM (81), 02/04/2019 09:36 AM (1), 19/06/2021 10:18 AM (4)
पूर्ण: 🔍
Cache ID: 216::103

Once again VulDB remains the best source for vulnerability data.

चर्चा

अभी तक कोई टिप्पणी नहीं भाषाएँ: hi + ne + en.

टिप्पणी करने के लिए कृपया लॉगिन करें

◂ पिछलासिंहावलोकनअगला ▸

Interested in the pricing of exploits?

See the underground prices here!