Sony Smart TV Photo Sharing Plus Credentials раскрытие информации

CVSS Meta Temp Score	Текущая цена эксплойта (≈)	Балл интереса CTI
6.1	$0-$5k	0.00

СводкаИнформация

Уязвимость была найдена в Sony Smart TV. Она была классифицирована как проблематичный. Вовлечена неизвестная функция компонента Photo Sharing Plus. Манипуляция приводит к раскрытие информации (Credentials). Эта уязвимость была названа CVE-2019-11336. Атака может быть осуществлена удаленно. Более того, существует эксплойт. Рекомендуется выключить уязвимый компонент.

ПодробностиИнформация

Уязвимость была найдена в Sony Smart TV. Она была классифицирована как проблематичный. Вовлечена неизвестная функция компонента Photo Sharing Plus. Манипуляция приводит к раскрытие информации (Credentials). Использование CWE для описания проблемы приводит к CWE-532. Ошибка была обнаружена 03.10.2018. Слабость была опубликована 23.04.2019 от компании xen1thLabs под идентификатором Multiple vulnerabilities in Sony Smart TVs как Mailinglist Post (Bugtraq) через HackerOne. Консультация доступна для скачивания по адресу seclists.org. Публичный релиз был согласован с поставщиком.

Эта уязвимость была названа CVE-2019-11336. Назначение CVE произошло 18.04.2019. Атака может быть осуществлена удаленно. Технические подробности отсутствуют. Популярность этой уязвимости ниже среднего. Более того, существует эксплойт. Эксплойт был раскрыт общественности и может быть использован. На текущий момент стоимость эксплойта может быть примерно USD $0-$5k. В проекте MITRE ATT&CK эта техника атаки обозначена как T1592.

Это объявлено как Доказательство концепции. Эксплойт доступен для загрузки на сайте seclists.org. Уязвимость обрабатывалась как непубличный эксплойт нулевого дня в течение как минимум 202 дней. В 0-дневный период предполагаемая подземная цена составляла около $5k-$25k. Код, используемый эксплойтом, следующий:

root@kali:~# wget -qO- --post-data='{"id":80,"method":"getContentShareServerInfo","params":[],"version":"1.0"}' 
http://[ip_tv]:10000/contentshare/
{"result":[{"ssid":"DIRECT-GD-BRAVIA","keyType":"","key":"8362tbwX","deviceName":"","url":"http:\/\/192.168.49.1","touchPadRemote":"notSupported"}],"id":80}

Рекомендуется выключить уязвимый компонент. В предупреждении указано следующее:

Sony confirms the vulnerabilities affects some models and "Sony plans to terminate Photo Sharing Plus service for all of models, and that completion date is scheduled for April 12th, 2019."

ПродуктИнформация

Тип

• Digital Media Player

Поставщик

• Sony

Имя

• Smart TV

Лицензия

• коммерческий

CPE 2.3Информация

• 🔍

CPE 2.2Информация

• 🔍

CVSSv4Информация

VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CVSSv3Информация

VulDB Meta Base Score: 6.2
VulDB Meta Temp Score: 6.1

VulDB Базовый балл: 5.3
VulDB Временная оценка: 4.9
VulDB Вектор: 🔍
VulDB Надёжность: 🔍

Исследователь Базовый балл: 5.3
Исследователь Вектор: 🔍

NVD Базовый балл: 8.1
NVD Вектор: 🔍

CVSSv2Информация

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Вектор	Сложность	Аутентификация	Конфиденциальность	Целостность	Доступность
Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать
Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать
Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать

VulDB Базовый балл: 🔍
VulDB Временная оценка: 🔍
VulDB Надёжность: 🔍

NVD Базовый балл: 🔍

ЭксплуатацияИнформация

Имя: Credentials
Класс: раскрытие информации / Credentials
CWE: CWE-532 / CWE-200 / CWE-284
CAPEC: 🔍
ATT&CK: 🔍

Физический: Нет
Локальный: Нет
Удалённый: Да

Доступность: 🔍
Доступ: публичный
Статус: Доказательство концепции
Скачать: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Прогноз цен: 🔍
Оценка текущей цены: 🔍

0-Day	Разблокировать	Разблокировать	Разблокировать	Разблокировать
Сегодня	Разблокировать	Разблокировать	Разблокировать	Разблокировать

Разведка угрозИнформация

Интерес: 🔍
Активные акторы: 🔍
Активные группы APT: 🔍

КонтрмерыИнформация

Рекомендация: Отключить
Статус: 🔍

0-дневное время: 🔍
Задержка эксплуатации: 🔍

ХронологияИнформация

03.10.2018 🔍
10.10.2018 +7 дни 🔍
12.10.2018 +2 дни 🔍
18.04.2019 +188 дни 🔍
23.04.2019 +5 дни 🔍
23.04.2019 +0 дни 🔍
29.04.2019 +6 дни 🔍
13.06.2024 +1872 дни 🔍

ИсточникиИнформация

Консультация: Multiple vulnerabilities in Sony Smart TVs
Организация: xen1thLabs
Статус: Подтверждённый
Скоординированный: 🔍

CVE: CVE-2019-11336 (🔍)
GCVE (CVE): GCVE-0-2019-11336
GCVE (VulDB): GCVE-100-134183
SecurityFocus: 108072

scip Labs: https://www.scip.ch/en/?labs.20161013
Разное: 🔍
Смотрите также: 🔍

ВходИнформация

Создано: 29.04.2019 09:24
Обновлено: 13.06.2024 08:48
Изменения: 29.04.2019 09:24 (81), 04.06.2020 15:13 (1), 07.09.2023 21:58 (5), 13.06.2024 08:48 (14)
Завершенный: 🔍
Cache ID: 216::103

Be aware that VulDB is the high quality source for vulnerability data.

Обсуждение

Are you interested in using VulDB?

Download the whitepaper to learn more about our service!