Apple iOS 7.1.2 Passcode Autenticação fraca

CVSS Meta Pontuação TemporáriaPreço atual do exploit (≈)Nota de Interesse CTI
3.6$0-$5k0.00

Sumárioinformação

Uma vulnerabilidade foi encontrada em Apple iOS 7.1.2. Foi classificada como problemático. Afectado é uma função desconhecida do componente Passcode Module. A manipulação com uma entrada desconhecida leva a Autenticação fraca. Além disso, há uma exploração disponível.

Detalhesinformação

Uma vulnerabilidade foi encontrada em Apple iOS 7.1.2. Foi classificada como problemático. Afectado é uma função desconhecida do componente Passcode Module. A manipulação com uma entrada desconhecida leva a Autenticação fraca. Usar CWE para declarar o problema leva a CWE-287. A fraqueza foi publicada 02/09/2014 por Benjamin Kunz Mejri com Vulnerability Lab como Apple iOS v7.1.2 - Merge Apps Service Local Bypass Vulnerability como Posting (Bugtraq). O aconselhamento é partilhado para download em archives.neohapsis.com.

Não há detalhes técnicos disponíveis. A vulnerabilidade não é bem conhecida. Além disso, há uma exploração disponível. A exploração foi divulgada ao público e pode ser utilizada. Atualmente, o preço atual de um exploit pode ser aproximadamente USD $0-$5k no momento. O aconselhamento aponta para o seguinte:

Local attackers without restricted physcial account can merge apps with functions ahead to the pass code module to compromise the device. Local attackers with user account can prepare (manipulate) a mobile device to access later the restricted context. During the tests we revealed that the exploitation is only possible (merge apps ahead to pass code) when the siri edit command context has been involved to save temporarily context. If the exploitaiton through the glitch was successful the attacker is able to prepare calls via app, write emails or access other last used apps to compromise the iOS device.

É declarado como prova de conceito. É possível descarregar a exploração em archives.neohapsis.com. A falha permaneceu como um exploit zero-day não divulgado durante pelo menos 48 dias. Como 0 dia, o preço estimado do subsolo foi de cerca de $25k-$100k. .

A vulnerabilidade consta ainda em outros bancos de dados de vulnerabilidades: X-Force (95645).

Produtoinformação

Tipo

Fabricante

Nome

Versão

Licença

Site

CPE 2.3informação

CPE 2.2informação

CVSSv4informação

VulDB Vetor: 🔍
VulDB Fiabilidade: 🔍

CVSSv3informação

VulDB Meta Pontuação Base: 4.0
VulDB Meta Pontuação Temporária: 3.6

VulDB Pontuação Base: 4.0
VulDB Pontuação Temporária: 3.6
VulDB Vetor: 🔍
VulDB Fiabilidade: 🔍

CVSSv2informação

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VectorComplexidadeAutenticaçãoConfidencialidadeIntegridadeDisponibilidade
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear

VulDB Pontuação Base: 🔍
VulDB Pontuação Temporária: 🔍
VulDB Fiabilidade: 🔍

Exploraçãoinformação

Classe: Autenticação fraca
CWE: CWE-287
CAPEC: 🔍
ATT&CK: 🔍

Físico: Parcial
Local: Sim
Remoto: Não

Disponibilidade: 🔍
Acesso: Público
Estado: Prova de conceito
Autor: Benjamin Kunz Mejri
Descarregar: 🔍
Tendência de preços: 🔍
Estimativa de preço atual: 🔍

0-DayDesbloquearDesbloquearDesbloquearDesbloquear
HojeDesbloquearDesbloquearDesbloquearDesbloquear

Inteligência de ameaçasinformação

Interesse: 🔍
Atores ativos: 🔍
Grupos APT ativos: 🔍

Contramedidasinformação

Recomendação: nenhuma medida conhecida
Estado: 🔍

Tempo 0-dia: 🔍
Tempo de atraso de exploração: 🔍

Linha do tempoinformação

16/07/2014 🔍
02/09/2014 +48 dias 🔍
02/09/2014 +0 dias 🔍
03/09/2014 +1 dias 🔍
05/07/2017 +1036 dias 🔍

Fontesinformação

Fabricante: apple.com

Aconselhamento: Apple iOS v7.1.2 - Merge Apps Service Local Bypass Vulnerability
Pessoa: Benjamin Kunz Mejri
Empresa: Vulnerability Lab
Estado: Confirmado

GCVE (VulDB): GCVE-100-67439
X-Force: 95645 - Apple iOS pass code module security bypass, Medium Risk

scip Labs: https://www.scip.ch/en/?labs.20150917
Vários: 🔍

Entradainformação

Criado: 03/09/2014 10h26
Atualizado: 05/07/2017 08h48
Ajustamentos: 03/09/2014 10h26 (51), 05/07/2017 08h48 (5)
Completo: 🔍
Cache ID: 216::103

Be aware that VulDB is the high quality source for vulnerability data.

Discussão

Ainda sem comentários. Idiomas: pt + es + en.

Por favor, inicie sessão para comentar.

◂ VoltarVisão GeralPróximo ▸

Do you want to use VulDB in your project?

Use the official API to access entries easily!