| CVSS 一時的なメタスコア | 現在のエクスプロイト価格 (≈) | CTI注目指数 |
|---|---|---|
| 7.3 | $0-$5k | 0.00 |
要約
Google Android内に 重大 として分類された脆弱性が発見されました。 該当するのは 不明な関数 コンポーネントAPK Package Signature Handlerのです。 未知の値で改ざんすることが、 弱い暗号化を突く攻撃に繋がります}。 この脆弱性は CVE-2013-4787 として扱われます。 さらに、エクスプロイトが利用可能です。 特殊な手法を用いるこの脆弱性は、歴史的に衝撃的として記憶されるでしょう。 この脆弱性が実際に存在するかどうかは現時点で疑われています。 この問題を修正するためにパッチを適用することを推奨します。
詳細
Google Android内に 重大 として分類された脆弱性が発見されました。 該当するのは 不明な関数 コンポーネントAPK Package Signature Handlerのです。 未知の値で改ざんすることが、 弱い暗号化を突く攻撃に繋がります}。 この問題をCWEでは、CWE-310 と定義しました。 この弱点は発表されました 2013年07月03日 Jeff Forristalによって （Bluebox Securityとともに） Android Security Bug 8219321として Blog Postとして （ウェブサイト）。 アドバイザリはbluebox.comで提供されています。 ベンダーと連携して公開リリースが実施されました。 開示内容は以下の通りです：
[A] vulnerability in Android’s security model that allows a hacker to modify APK code without breaking an application’s cryptographic signature, to turn any legitimate application into a malicious Trojan, completely unnoticed by the app store, the phone, or the end user. (…) This vulnerability, around at least since the release of Android 1.6 (codename: “Donut” ), could affect any Android phone released in the last 4 years – or nearly 900 million devices – and depending on the type of application, a hacker can exploit the vulnerability for anything from data theft to creation of a mobile botnet.
この脆弱性は CVE-2013-4787 として扱われます。 CVEの割り当ては2013年07月09日に行われました。 技術的な詳細は利用できません。 この脆弱性の悪用頻度の高さは平均を超えています。 さらに、エクスプロイトが利用可能です。 エクスプロイトツールは一般に公開されており、悪用される可能性があります。 現時点では、エクスプロイトの価格は約USD $0-$5kと考えられます。 MITRE ATT&CKプロジェクトは攻撃技術をT1600としています。 特殊な手法を用いるこの脆弱性は、歴史的に衝撃的として記憶されるでしょう。 アドバイザリーは次を指摘しています。
All Android applications contain cryptographic signatures, which Android uses to determine if the app is legitimate and to verify that the app hasn’t been tampered with or modified. This vulnerability makes it possible to change an application’s code without affecting the cryptographic signature of the application – essentially allowing a malicious author to trick Android into believing the app is unchanged even if it has been.
概念実証 として宣言されています。 エクスプロイトはgist.github.comにて提供されています。 0dayにはおよそ $25k-$100k の価値があったと予想しています。 アドバイザリでは以下の点が述べられています：
Installation of a Trojan application from the device manufacturer can grant the application full access to Android system and all applications (and their data) currently installed. The application then not only has the ability to read arbitrary application data on the device (email, SMS messages, documents, etc.), retrieve all stored account & service passwords, it can essentially take over the normal functioning of the phone and control any function thereof (make arbitrary phone calls, send arbitrary SMS messages, turn on the camera, and record calls). Finally, and most unsettling, is the potential for a hacker to take advantage of the always-on, always-connected, and always-moving (therefore hard-to-detect) nature of these “zombie” mobile devices to create a botnet.この脆弱性が実際に存在するかどうかは現時点で疑われています。 】のプラグインを提供しています。
2013-07-07にアップグレードすることで、本問題を解消できます。 考えられる代替コンポーネントは【Apple iOS/Microsoft Windows Phone】です。 この問題を修正するためにパッチを適用することを推奨します。 アドバイザリには以下のようなコメントが記載されています：
It’s up to device manufacturers to produce and release firmware updates for mobile devices (and furthermore for users to install these updates). The availability of these updates will widely vary depending upon the manufacturer and model in question.
この脆弱性は他の脆弱性データベースにも記載されています: SecurityFocus (BID 60952), X-Force (85500) , Vulnerability Center (SBV-42084).
製品
タイプ
ベンダー
名前
バージョン
- 1.6
- 2.0
- 2.0.1
- 2.1
- 2.2
- 2.2.1
- 2.2.2
- 2.2.3
- 2.3.1
- 2.3.2
- 2.3.3
- 2.3.4
- 2.3.5
- 2.3.6
- 2.3.7
- 3.0
- 3.2.1
- 3.2.2
- 3.2.4
- 3.2.6
- 4.0
- 4.0.1
- 4.0.2
- 4.0.3
- 4.0.4
- 4.1
- 4.1.2
- 4.2
ライセンス
ウェブサイト
- ベンダー: https://www.google.com/
CPE 2.3
CPE 2.2
スクリーンショット
CVSSv4
VulDB ベクトル: 🔍VulDB 信頼性: 🔍
CVSSv3
VulDB ベースメタスコア: 8.1VulDB 一時的なメタスコア: 7.3
VulDB ベーススコア: 8.1
VulDB 一時的なスコア: 7.3
VulDB ベクトル: 🔍
VulDB 信頼性: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| ベクトル | 複雑さ | 認証 | 機密性 | 完全性 | 可用性 |
|---|---|---|---|---|---|
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
VulDB ベーススコア: 🔍
VulDB 一時的なスコア: 🔍
VulDB 信頼性: 🔍
NVD ベーススコア: 🔍
悪用
クラス: 弱い暗号化CWE: CWE-310
CAPEC: 🔍
ATT&CK: 🔍
物理的: いいえ
ローカル: いいえ
リモート: はい
可用性: 🔍
アクセス: パブリック
ステータス: 概念実証
著者: Jeff Forristal
ダウンロード: 🔍
EPSS Score: 🔍
EPSS Percentile: 🔍
価格予測: 🔍
現在の価格評価: 🔍
| 0-Day | 解除 | 解除 | 解除 | 解除 |
|---|---|---|---|---|
| 本日 | 解除 | 解除 | 解除 | 解除 |
Exploit-DB: 🔍
脅威インテリジェンス
関心: 🔍アクティブアクター: 🔍
アクティブなAPTグループ: 🔍
対策
推奨: パッチステータス: 🔍
0day日時: 🔍
エクスプロイト遅延時間: 🔍
アップグレード: Android 2013-07-07
代替案: Apple iOS/Microsoft Windows Phone
タイムライン
2013年02月01日 🔍2013年07月03日 🔍
2013年07月03日 🔍
2013年07月04日 🔍
2013年07月09日 🔍
2013年07月09日 🔍
2013年08月01日 🔍
2013年10月24日 🔍
2024年06月11日 🔍
ソース
ベンダー: google.com勧告: Android Security Bug 8219321
調査者: Jeff Forristal
組織: Bluebox Security
ステータス: 未定義
調整済み: 🔍
係争中: 🔍
CVE: CVE-2013-4787 (🔍)
GCVE (CVE): GCVE-0-2013-4787
GCVE (VulDB): GCVE-100-9315
X-Force: 85500
SecurityFocus: 60952
OSVDB: 94773
Vulnerability Center: 42084 - Google Android 1.6 - 4.2 Remote Code Execution Vulnerability Using Master Key to Change APK Code, Critical
scip Labs: https://www.scip.ch/en/?labs.20150917
その他: 🔍
関連情報: 🔍
エントリ
作成済み: 2013年07月04日 11:22更新済み: 2024年06月11日 11:56
変更: 2013年07月04日 11:22 (70), 2017年05月14日 09:34 (18), 2024年06月11日 11:56 (17)
完了: 🔍
Cache ID: 216::103
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.
コメントはまだありません。 言語: ja + en.
コメントするにはログインしてください。