VDB-12007 · OSVDB 102278 · GCVE-100-12007

Google Android 4.3/4.4 VPN Configuration Redirect

CVSS 一時的なメタスコア	現在のエクスプロイト価格 (≈)	CTI注目指数
4.8	$5k-$25k	0.00

要約情報

このたび、Google Android 4.3/4.4において、問題があるに分類される脆弱性が見つかりました。この問題により影響を受けるのは、コンポーネント【VPN Configuration】の未知の機能です。未知の値で改ざんすることが、 Redirectを突く攻撃に繋がります}。さらに、攻撃手法が利用可能です。

このたび、Google Android 4.3/4.4において、問題があるに分類される脆弱性が見つかりました。この問題により影響を受けるのは、コンポーネント【VPN Configuration】の未知の機能です。未知の値で改ざんすることが、 Redirectを突く攻撃に繋がります}。問題をCWEで宣言すると、CWE-601 になります。この弱点は 2014年01月17日に発表されました、Mordechai Guriによって、Cyber Security Labs Ben Gurion Universityと共に、VPN Related Vulnerability Discovered on an Android deviceとして、Postingとして（Blog）。アドバイザリはcyber.bgu.ac.ilでダウンロードできます。ベンダーとの協議が行われないまま公開されました。開示には以下が含まれます：

This vulnerability is similar to the previous vulnerability we've disclosed to Samsung (two weeks ago) by the fact that both of them work in a similar manner while the difference among them is the exploit target. See more info on the previous story WSJ. A detailed report on the original disclosure process will be provided soon via this blog.

テクニカルな情報はありません。この脆弱性の一般的な利用度は平均を下回っています。さらに、攻撃手法が利用可能です。現時点で、脆弱性の構成から考えられる取引価格帯を約$5k-$25k米ドルと算出しました。 MITRE ATT&CKプロジェクトによると、攻撃手法はT1204.001です。アドバイザリーは次を指摘しています。

This vulnerability enables malicious apps to bypass active VPN configuration (no ROOT permissions required) and redirect secure data communications to a different network address. These communications are captured in CLEAR TEXT (no encryption), leaving the information completely exposed. This redirection can take place while leaving the user completely oblivious, believing the data is encrypted and secure.

概念実証に指定されています。 0-dayの場合、推定されるアンダーグラウンドでの価格は約$25k-$100kでした。

アドバイザリには次のような記載があります：

We have earlier today contacted Google through their security email [email protected] and sent them a vulnerability alert with all relevant information in an encrypted manner. We will update this blog post when new information becomes available or when progress is made in the analysis of this vulnerability.