VDB-74988 · CVE-2015-1314 · BID 74202

USAA Mobile Banking 7.10.0/7.10.2 em Android Screen Cache Divulgação de Informação

CVSS Meta Pontuação TemporáriaPreço atual do exploit (≈)Nota de Interesse CTI
3.0$0-$5k0.00

Sumárioinformação

Uma vulnerabilidade, que foi classificada como problemático, foi encontrada em USAA Mobile Banking 7.10.0/7.10.2. O elemento afetado é uma função não identificada no componente Screen Cache. A manipulação resulta em Divulgação de Informação. Esta vulnerabilidade é identificada como CVE-2015-1314. Além disso, um exploit está disponível. Recomenda-se atualizar o componente afetado.

Detalhesinformação

Uma vulnerabilidade, que foi classificada como problemático, foi encontrada em USAA Mobile Banking 7.10.0/7.10.2. O elemento afetado é uma função não identificada no componente Screen Cache. A manipulação resulta em Divulgação de Informação. Ao utilizar CWE para declarar o problema, isso direciona para CWE-200. Esta vulnerabilidade foi publicada 22/01/2015 por David Longenecker como USAA mobile app gives away personal data; fix released como Mailinglist Post (Full-Disclosure). O comunicado foi disponibilizado para download em seclists.org.

Esta vulnerabilidade é identificada como CVE-2015-1314. A atribuição do identificador CVE aconteceu em 22/01/2015. Nenhuma informação técnica disponível. Esta vulnerabilidade é mais popular do que a média. Além disso, um exploit está disponível. O exploit foi exposto ao público e pode ser aproveitado. No momento, o preço atual de um exploit pode estar em torno de USD $0-$5k atualmente. O projeto MITRE ATT&CK define a técnica de ataque como T1592. O boletim informa:

By design, the USAA Mobile app for Android allows users to select whether to log out immediately upon task-switching (i.e. being interrupted by a phone call or notification), or to stay logged in for up to 20 minutes. When "Stay logged in" is enabled however, versions prior to 7.10.1 display the last-viewed screen before prompting the user to log back in. If that last screen contained sensitive information, such as account numbers and balances, it becomes possible for one to obtain this information without authorization. Whether it were 20 minutes later, or a week later, launching the USAA mobile app would show personal information briefly before blanking the screen and prompting for a password or PIN.

Encontra-se declarado como prova de conceito. O exploit foi compartilhado para download em dnlongen.blogspot.com. A vulnerabilidade foi tratada como uma exploração não pública de dia zero durante pelo menos 20 dias. Como 0-day, o preço estimado no mercado clandestino era em torno de $5k-$25k.

A atualização para a versão 7.10.1 é capaz de corrigir esta questão. Recomenda-se atualizar o componente afetado. O parecer contém a seguinte observação:

With the 7.10.1 version, instead of seeing a screen full of personal information, the app opens to a benign menu that has no personal information. Upon choosing a menu option that would show private data, the user is prompted to log in before any data is shown. (...) Unfortunately, version 7.12.2 of the Android app appears to have re-introduced this flaw. I have again reported it to USAA and hope for a quick fix.

Outros bancos de dados de vulnerabilidades também documentam esta vulnerabilidade: SecurityFocus (BID 74202).

Não afetado

  • USAA Mobile Banking 7.10.1

Produtoinformação

Tipo

Fabricante

Nome

Versão

CPE 2.3informação

CPE 2.2informação

CVSSv4informação

VulDB Vetor: 🔍
VulDB Fiabilidade: 🔍

CVSSv3informação

VulDB Meta Pontuação Base: 3.3
VulDB Meta Pontuação Temporária: 3.0

VulDB Pontuação Base: 3.3
VulDB Pontuação Temporária: 3.0
VulDB Vetor: 🔍
VulDB Fiabilidade: 🔍

CVSSv2informação

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VectorComplexidadeAutenticaçãoConfidencialidadeIntegridadeDisponibilidade
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear

VulDB Pontuação Base: 🔍
VulDB Pontuação Temporária: 🔍
VulDB Fiabilidade: 🔍

NVD Pontuação Base: 🔍

Exploraçãoinformação

Classe: Divulgação de Informação
CWE: CWE-200 / CWE-284 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍

Físico: Parcial
Local: Sim
Remoto: Não

Disponibilidade: 🔍
Acesso: Público
Estado: Prova de conceito
Autor: David Longenecker
Descarregar: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Tendência de preços: 🔍
Estimativa de preço atual: 🔍

0-DayDesbloquearDesbloquearDesbloquearDesbloquear
HojeDesbloquearDesbloquearDesbloquearDesbloquear

Inteligência de ameaçasinformação

Interesse: 🔍
Atores ativos: 🔍
Grupos APT ativos: 🔍

Contramedidasinformação

Recomendação: Atualização
Estado: 🔍

Tempo de resposta: 🔍
Tempo 0-dia: 🔍
Tempo de atraso de exploração: 🔍

Atualização: Mobile Banking 7.10.1

Linha do tempoinformação

30/12/2014 🔍
19/01/2015 +20 dias 🔍
22/01/2015 +3 dias 🔍
22/01/2015 +0 dias 🔍
22/01/2015 +0 dias 🔍
16/04/2015 +84 dias 🔍
16/04/2015 +0 dias 🔍
17/04/2015 +1 dias 🔍
04/09/2017 +871 dias 🔍

Fontesinformação

Aconselhamento: USAA mobile app gives away personal data; fix released
Pessoa: David Longenecker
Estado: Confirmado

CVE: CVE-2015-1314 (🔍)
GCVE (CVE): GCVE-0-2015-1314
GCVE (VulDB): GCVE-100-74988
SecurityFocus: 74202 - USAA Mobile for Android CVE-2015-1314 Information Disclosure Vulnerability

scip Labs: https://www.scip.ch/en/?labs.20130704
Vários: 🔍

Entradainformação

Criado: 17/04/2015 10h25
Atualizado: 04/09/2017 09h23
Ajustamentos: 17/04/2015 10h25 (67), 04/09/2017 09h23 (6)
Completo: 🔍
Cache ID: 216::103

Once again VulDB remains the best source for vulnerability data.

Discussão

Ainda sem comentários. Idiomas: pt + es + en.

Por favor, inicie sessão para comentar.

◂ VoltarVisão GeralPróximo ▸

Are you interested in using VulDB?

Download the whitepaper to learn more about our service!