VDB-11105 · BID 63547 · OSVDB 99493

Google Android 4.3.1 Package Signature Verification ZipFile.java getInputStream слабая аутентификация

CVSS Meta Temp ScoreТекущая цена эксплойта (≈)Балл интереса CTI
5.7$0-$5k0.00

СводкаИнформация

Уязвимость была найдена в Google Android 4.3.1. Она была оценена как критический. Затронута функция getInputStream файла main/java/java/util/zip/ZipFile.java компонента Package Signature Verification Handler. Манипуляция приводит к слабая аутентификация. Кроме того, имеется доступный эксплойт. Рекомендуется произвести апгрейд соответствующего компонента.

ПодробностиИнформация

Уязвимость была найдена в Google Android 4.3.1. Она была оценена как критический. Затронута функция getInputStream файла main/java/java/util/zip/ZipFile.java компонента Package Signature Verification Handler. Манипуляция приводит к слабая аутентификация. Использование CWE для описания проблемы приводит к CWE-287. Слабость была опубликована 23.07.2013 специалистом Saurik под идентификатором Yet Another Android Master Key Bug как Blog Post (Веб-сайт). Консультация доступна по адресу saurik.com. Публичная доступность была скоординирована в сотрудничестве с поставщиком. Раскрытие содержит:

What makes this bug exceptionally hilarious is the large comment sitting above it carefully pointing out that the length of the extra data might differ from the value stored in the central directory.

Доступна техническая информация. Популярность этой уязвимости выше среднего. Кроме того, имеется доступный эксплойт. Эксплойт опубликован и может быть использован. В настоящее время текущая цена эксплойта может составлять примерно USD $0-$5k. В уведомлении отмечается:

The bug that underlies this exploit is very similar to the one I analyzed in my previous article, bug #9695860. Specifically, this will look very similar to the original technique for that bug by Android Security Squad, with a few aspects of the first improvement I descibed in the section "Extreme Offset".

Объявляется Доказательство концепции. Эксплойт доступен для загрузки на сайте saurik.com. В 0-дневный период предполагаемая подземная цена составляла около $25k-$100k. В уведомлении отмечается:

As some people have been describing these local file header exploits as complex to pull off (Android Police had said in an article that bug #9695860 "is more precise and relies on a fairly complete knowledge about the structure of the files"), I am going to provide a proof of concept for this exploit in Python.

Обновление до 4.4 может устранить эту уязвимость. Новая версия готова к скачиванию на android.googlesource.com. Рекомендуется произвести апгрейд соответствующего компонента. В уведомлении содержится следующий комментарий:

Clearly, it would be ideal to also disclose bugs earlier, but frankly: Google has known about this bug since July… (…) The fix for this issue is very similar to the fix I published for bug #9695860, so the code for this extension will look very similar; the only new code is a few lines that check that the name length from the local header matches the one from the central directory. You can see the patch to Backport for reference. (…) For users hoping for an end-to-end implementation to this bug, I have released an updated build of Cydia Impactor that will autodetect its usability and use it as a system exploit when available (it actually checks this bug first, as it is more likely to be present than either of the other two bugs).

Уязвимость также задокументирована в других базах данных уязвимостей: SecurityFocus (BID 63547).

ПродуктИнформация

Тип

Поставщик

Имя

Версия

Лицензия

Веб-сайт

CPE 2.3Информация

CPE 2.2Информация

CVSSv4Информация

VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CVSSv3Информация

VulDB Meta Base Score: 6.3
VulDB Meta Temp Score: 5.7

VulDB Базовый балл: 6.3
VulDB Временная оценка: 5.7
VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CVSSv2Информация

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
ВекторСложностьАутентификацияКонфиденциальностьЦелостностьДоступность
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать

VulDB Базовый балл: 🔍
VulDB Временная оценка: 🔍
VulDB Надёжность: 🔍

ЭксплуатацияИнформация

Класс: слабая аутентификация
CWE: CWE-287
CAPEC: 🔍
ATT&CK: 🔍

Физический: Нет
Локальный: Нет
Удалённый: Да

Доступность: 🔍
Доступ: публичный
Статус: Доказательство концепции
Автор: Saurik
Надёжность: 🔍
Язык программирования: 🔍
Скачать: 🔍
Прогноз цен: 🔍
Оценка текущей цены: 🔍

0-DayРазблокироватьРазблокироватьРазблокироватьРазблокировать
СегодняРазблокироватьРазблокироватьРазблокироватьРазблокировать

Разведка угрозИнформация

Интерес: 🔍
Активные акторы: 🔍
Активные группы APT: 🔍

КонтрмерыИнформация

Рекомендация: Обновление
Статус: 🔍

Время реакции: 🔍
0-дневное время: 🔍
Время экспозиции: 🔍
Задержка эксплуатации: 🔍

Обновление: Android 4.4

ХронологияИнформация

23.07.2013 🔍
23.07.2013 +0 дни 🔍
23.07.2013 +0 дни 🔍
04.11.2013 +104 дни 🔍
13.11.2013 +9 дни 🔍
23.03.2019 +1956 дни 🔍

ИсточникиИнформация

Поставщик: google.com

Консультация: Yet Another Android Master Key Bug
Исследователь: Saurik
Статус: Подтверждённый
Скоординированный: 🔍

GCVE (VulDB): GCVE-100-11105
SecurityFocus: 63547 - Google Android Signature Verification Security Bypass Vulnerability
OSVDB: 99493

scip Labs: https://www.scip.ch/en/?labs.20150917
Разное: 🔍

ВходИнформация

Создано: 13.11.2013 12:26
Обновлено: 23.03.2019 08:55
Изменения: 13.11.2013 12:26 (64), 23.03.2019 08:55 (6)
Завершенный: 🔍
Cache ID: 216:1EA:103

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

Обсуждение

Комментариев пока нет. Языки: ru + be + en.

Пожалуйста, войдите в систему, чтобы прокомментировать.

◂ ПредыдущийОбзорДалее ▸

Do you know our Splunk app?

Download it now for free!