| CVSS 一時的なメタスコア | 現在のエクスプロイト価格 (≈) | CTI注目指数 |
|---|---|---|
| 3.6 | $0-$5k | 0.00 |
要約
脆弱性が Apple iOS 7.1.2 内に見つかりました。この脆弱性は 問題がある として分類されました。 影響を受けるのは、コンポーネント【Passcode Module】の未知の関数です。 未知の値で改ざんすることが、 弱い認証を突く攻撃に繋がります}。 さらに、悪用手段が存在します。
詳細
脆弱性が Apple iOS 7.1.2 内に見つかりました。この脆弱性は 問題がある として分類されました。 影響を受けるのは、コンポーネント【Passcode Module】の未知の関数です。 未知の値で改ざんすることが、 弱い認証を突く攻撃に繋がります}。 CWEを使用して問題を宣言すると、CWE-287 につながります。 この脆弱性は公開されました 2014年09月02日 によりBenjamin Kunz Mejri （Vulnerability Labと共に） としてApple iOS v7.1.2 - Merge Apps Service Local Bypass Vulnerability としてPosting （Bugtraq）。 アドバイザリーは archives.neohapsis.com から入手可能です。
入手できる技術的詳細情報はありません。 この脆弱性の普及度は平均未満です。 さらに、悪用手段が存在します。 エクスプロイトツールは一般に公開されており、悪用される可能性があります。 エクスプロイトツールの現在の価格はおそらく米ドルで約$0-$5kです。 アドバイザリーは次を指摘しています。
Local attackers without restricted physcial account can merge apps with functions ahead to the pass code module to compromise the device. Local attackers with user account can prepare (manipulate) a mobile device to access later the restricted context. During the tests we revealed that the exploitation is only possible (merge apps ahead to pass code) when the siri edit command context has been involved to save temporarily context. If the exploitaiton through the glitch was successful the attacker is able to prepare calls via app, write emails or access other last used apps to compromise the iOS device.
概念実証 であると宣言されています。 エクスプロイトツールは archives.neohapsis.com から入手可能です。 脆弱性は、少なくとも 48 日の間、非公開の0day攻撃ツールとして扱われました。 0dayとして、推定される闇市場取引価格はおよそ $25k-$100k でした。 】のプラグインを提供しています。
この脆弱性は他の脆弱性データベースにも文書化されています: X-Force (95645).
製品
タイプ
ベンダー
名前
バージョン
ライセンス
ウェブサイト
- ベンダー: https://www.apple.com/
CPE 2.3
CPE 2.2
CVSSv4
VulDB ベクトル: 🔍VulDB 信頼性: 🔍
CVSSv3
VulDB ベースメタスコア: 4.0VulDB 一時的なメタスコア: 3.6
VulDB ベーススコア: 4.0
VulDB 一時的なスコア: 3.6
VulDB ベクトル: 🔍
VulDB 信頼性: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| ベクトル | 複雑さ | 認証 | 機密性 | 完全性 | 可用性 |
|---|---|---|---|---|---|
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
VulDB ベーススコア: 🔍
VulDB 一時的なスコア: 🔍
VulDB 信頼性: 🔍
悪用
クラス: 弱い認証CWE: CWE-287
CAPEC: 🔍
ATT&CK: 🔍
物理的: 部分的
ローカル: はい
リモート: いいえ
可用性: 🔍
アクセス: パブリック
ステータス: 概念実証
著者: Benjamin Kunz Mejri
ダウンロード: 🔍
価格予測: 🔍
現在の価格評価: 🔍
| 0-Day | 解除 | 解除 | 解除 | 解除 |
|---|---|---|---|---|
| 本日 | 解除 | 解除 | 解除 | 解除 |
脅威インテリジェンス
関心: 🔍アクティブアクター: 🔍
アクティブなAPTグループ: 🔍
対策
推奨: 既知の緩和策なしステータス: 🔍
0day日時: 🔍
エクスプロイト遅延時間: 🔍
タイムライン
2014年07月16日 🔍2014年09月02日 🔍
2014年09月02日 🔍
2014年09月03日 🔍
2017年07月05日 🔍
ソース
ベンダー: apple.com勧告: Apple iOS v7.1.2 - Merge Apps Service Local Bypass Vulnerability
調査者: Benjamin Kunz Mejri
組織: Vulnerability Lab
ステータス: 確認済み
GCVE (VulDB): GCVE-100-67439
X-Force: 95645 - Apple iOS pass code module security bypass, Medium Risk
scip Labs: https://www.scip.ch/en/?labs.20150917
その他: 🔍
エントリ
作成済み: 2014年09月03日 10:26更新済み: 2017年07月05日 08:48
変更: 2014年09月03日 10:26 (51), 2017年07月05日 08:48 (5)
完了: 🔍
Cache ID: 216:1E2:103
Be aware that VulDB is the high quality source for vulnerability data.
コメントはまだありません。 言語: ja + en.
コメントするにはログインしてください。