Google Android até 4.2 APK Package Signature Encriptação fraca ⚔ [Questionado]

CVSS Meta Pontuação TemporáriaPreço atual do exploit (≈)Nota de Interesse CTI
7.3$0-$5k0.00

Sumárioinformação

Uma vulnerabilidade, que foi classificada como crítico, foi encontrada em Google Android. Afetado é uma função desconhecida do componente APK Package Signature Handler. A manipulação com uma entrada desconhecida leva a Encriptação fraca. Esta vulnerabilidade é conhecida como CVE-2013-4787. Além disso, existe um exploit disponível. Esta vulnerabilidade apresenta um impacto histórico em razão de seu passado e repercussão. A existência real desta vulnerabilidade ainda é duvidosa neste momento. Recomenda-se aplicar um patch para corrigir este problema.

Detalhesinformação

Uma vulnerabilidade, que foi classificada como crítico, foi encontrada em Google Android. Afetado é uma função desconhecida do componente APK Package Signature Handler. A manipulação com uma entrada desconhecida leva a Encriptação fraca. Usar a CWE para declarar o problema leva à CWE-310. A fraqueza foi publicada 03/07/2013 por Jeff Forristal com Bluebox Security como Android Security Bug 8219321 como Blog Post (Site). O comunicado está disponível para download em bluebox.com. A divulgação pública foi coordenada com o vendedor. A divulgação contém:

[A] vulnerability in Android’s security model that allows a hacker to modify APK code without breaking an application’s cryptographic signature, to turn any legitimate application into a malicious Trojan, completely unnoticed by the app store, the phone, or the end user. (…) This vulnerability, around at least since the release of Android 1.6 (codename: “Donut” ), could affect any Android phone released in the last 4 years – or nearly 900 million devices – and depending on the type of application, a hacker can exploit the vulnerability for anything from data theft to creation of a mobile botnet.

Esta vulnerabilidade é conhecida como CVE-2013-4787. A atribuição do CVE ocorreu em 09/07/2013. Não há detalhes técnicos disponíveis. A popularidade desta vulnerabilidade está acima da média. Além disso, existe um exploit disponível. O exploit foi divulgado ao público e pode ser utilizado. No momento, o preço atual de um exploit pode estar em torno de USD $0-$5k atualmente. O projeto MITRE ATT&CK declara a técnica de ataque como T1600. Esta vulnerabilidade apresenta um impacto histórico em razão de seu passado e repercussão. O comunicado destaca:

All Android applications contain cryptographic signatures, which Android uses to determine if the app is legitimate and to verify that the app hasn’t been tampered with or modified. This vulnerability makes it possible to change an application’s code without affecting the cryptographic signature of the application – essentially allowing a malicious author to trick Android into believing the app is unchanged even if it has been.

É declarado como prova de conceito. O exploit pode ser baixado em gist.github.com. Como 0-day, o valor estimado no submundo era aproximadamente $25k-$100k. A recomendação aponta:

Installation of a Trojan application from the device manufacturer can grant the application full access to Android system and all applications (and their data) currently installed. The application then not only has the ability to read arbitrary application data on the device (email, SMS messages, documents, etc.), retrieve all stored account & service passwords, it can essentially take over the normal functioning of the phone and control any function thereof (make arbitrary phone calls, send arbitrary SMS messages, turn on the camera, and record calls). Finally, and most unsettling, is the potential for a hacker to take advantage of the always-on, always-connected, and always-moving (therefore hard-to-detect) nature of these “zombie” mobile devices to create a botnet.
A existência real desta vulnerabilidade ainda é duvidosa neste momento.

Atualizar para a versão 2013-07-07 pode resolver este problema. Apple iOS/Microsoft Windows Phone pode ser uma alternativa. Recomenda-se aplicar um patch para corrigir este problema. O aviso inclui o seguinte comentário:

It’s up to device manufacturers to produce and release firmware updates for mobile devices (and furthermore for users to install these updates). The availability of these updates will widely vary depending upon the manufacturer and model in question.

A vulnerabilidade está também documentada noutras bases de dados de vulnerabilidade: SecurityFocus (BID 60952), X-Force (85500) e Vulnerability Center (SBV-42084).

Produtoinformação

Tipo

Fabricante

Nome

Versão

Licença

Site

CPE 2.3informação

CPE 2.2informação

Captura de tela

CVSSv4informação

VulDB Vetor: 🔍
VulDB Fiabilidade: 🔍

CVSSv3informação

VulDB Meta Pontuação Base: 8.1
VulDB Meta Pontuação Temporária: 7.3

VulDB Pontuação Base: 8.1
VulDB Pontuação Temporária: 7.3
VulDB Vetor: 🔍
VulDB Fiabilidade: 🔍

CVSSv2informação

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VectorComplexidadeAutenticaçãoConfidencialidadeIntegridadeDisponibilidade
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear

VulDB Pontuação Base: 🔍
VulDB Pontuação Temporária: 🔍
VulDB Fiabilidade: 🔍

NVD Pontuação Base: 🔍

Exploraçãoinformação

Classe: Encriptação fraca
CWE: CWE-310
CAPEC: 🔍
ATT&CK: 🔍

Físico: Não
Local: Não
Remoto: Sim

Disponibilidade: 🔍
Acesso: Público
Estado: Prova de conceito
Autor: Jeff Forristal
Descarregar: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Tendência de preços: 🔍
Estimativa de preço atual: 🔍

0-DayDesbloquearDesbloquearDesbloquearDesbloquear
HojeDesbloquearDesbloquearDesbloquearDesbloquear

Exploit-DB: 🔍

Inteligência de ameaçasinformação

Interesse: 🔍
Atores ativos: 🔍
Grupos APT ativos: 🔍

Contramedidasinformação

Recomendação: Patch
Estado: 🔍

Tempo 0-dia: 🔍
Tempo de atraso de exploração: 🔍

Atualização: Android 2013-07-07
Alternativa: Apple iOS/Microsoft Windows Phone

Linha do tempoinformação

01/02/2013 🔍
03/07/2013 +152 dias 🔍
03/07/2013 +0 dias 🔍
04/07/2013 +1 dias 🔍
09/07/2013 +5 dias 🔍
09/07/2013 +0 dias 🔍
01/08/2013 +23 dias 🔍
24/10/2013 +84 dias 🔍
11/06/2024 +3883 dias 🔍

Fontesinformação

Fabricante: google.com

Aconselhamento: Android Security Bug 8219321
Pessoa: Jeff Forristal
Empresa: Bluebox Security
Estado: Não definido
Coordenado: 🔍
Questionado: 🔍

CVE: CVE-2013-4787 (🔍)
GCVE (CVE): GCVE-0-2013-4787
GCVE (VulDB): GCVE-100-9315
X-Force: 85500
SecurityFocus: 60952
OSVDB: 94773
Vulnerability Center: 42084 - Google Android 1.6 - 4.2 Remote Code Execution Vulnerability Using Master Key to Change APK Code, Critical

scip Labs: https://www.scip.ch/en/?labs.20150917
Vários: 🔍
Veja também: 🔍

Entradainformação

Criado: 04/07/2013 11h22
Atualizado: 11/06/2024 11h56
Ajustamentos: 04/07/2013 11h22 (70), 14/05/2017 09h34 (18), 11/06/2024 11h56 (17)
Completo: 🔍
Cache ID: 216::103

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

Discussão

Ainda sem comentários. Idiomas: pt + es + en.

Por favor, inicie sessão para comentar.

◂ VoltarVisão GeralPróximo ▸

Do you need the next level of professionalism?

Upgrade your account now!