Google Android UI Handler Overlay слабая аутентификация ⚔ [Спорный]

CVSS Meta Temp ScoreТекущая цена эксплойта (≈)Балл интереса CTI
7.3$0-$5k0.00

СводкаИнформация

В Google Android была найдена уязвимость, классифицированная как критический. Затронута неизвестная функция компонента UI Handler. Выполнение манипуляции приводит к слабая аутентификация (Overlay). Кроме того, имеется доступный эксплойт. На данный момент реальность данной уязвимости остается под вопросом.

ПодробностиИнформация

В Google Android была найдена уязвимость, классифицированная как критический. Затронута неизвестная функция компонента UI Handler. Выполнение манипуляции приводит к слабая аутентификация (Overlay). Использование CWE для объявления проблемы приводит к тому, что CWE-290. Данная уязвимость была опубликована 01.04.2015 исследователем Tobias Ospelt при поддержке modzero AG с идентификатором Android apps in sheep's clothing в виде Консультация (Веб-сайт). Консультация доступна по адресу modzero.ch. Публичный релиз произошел без участия продавца.

Техническая информация отсутствует. Данная уязвимость пользуется популярностью выше среднего уровня. Кроме того, имеется доступный эксплойт. Эксплойт опубликован и может быть использован. На данный момент актуальная стоимость эксплойта может быть около USD $0-$5k. В рекомендациях указано следующее:

Overlaying and redressing attacks on Android are known for several years now. In the past, attackers abused toast messages to overlay user interface elements to pass touch events to hidden activities while the user is handling the interface of the malicious app on top. This is known as tap-jacking. Toast messages do not require special permissions. Android mitigated some of these issues with the filterTouchesWhenObscured attribute. However, our overlay attack, while still stealing information, uses different mechanisms. Therefore filterTouchesWhenObscured is no effective mitigation.

Присвоено значение Высокофункциональный. Эксплойт можно скачать по ссылке play.google.com. Как 0-day, оценочная цена на теневом рынке составляла примерно $25k-$100k. В уведомлении отмечается:

The attack is implemented in a malicious app, which may be distributed over any channel and it mimics a useful app (for example a torch app). The software registers a background service on boot and continuously monitors foreground applications. In this scenario, the attacker wants to collect account credentials of services, for example Skype, Amazon, and PayPal. If a foreground app’s package/class name matches the target name (for example “com.skype.android.app.signin.SignInActivity"), the malicious app overlays the login activity by rendering the faked login view (...) The original activity can be overlaid completely or partially, whatever is simpler for the attacker. For the Skype attack we chose to overlay the entire Activity. The attack may use the original app resources from its unpacked apk file (layout xml files) to get exactly the same look and feel of the original app. Once the user submits account credentials, the attacker hides the overlay and a home button press is activated to simulate an application crash. The malicious application diverts the stolen account credential to an external server (in the above demonstration the credentials are shown in the malicious app). From this point on no overlay is taking place anymore and the Skype app is working as expected.
На данный момент реальность данной уязвимости остается под вопросом.

В уведомлении содержится следующий комментарий:

The Android Security Team has been informed in spring 2014, but they don't consider this behavior an issue. According to an apparently completely independent issue (privacy reasons) Android 5 changed its tasks API (GET_TASKS), there are no credits are reference to our work [2][3]. This somewhat mitigates the issue that malicious apps are able to figure out precisely which Activity is in the foreground. However, by using a different API (ActivityManager.getRunningAppProcesses and comparing the importance to ActivityManager.RunningAppProcessInfo.IMPORTANCE_FOREGROUND) it is still possible to figure out which app is currently in the foreground on Android 5.

Затронуто

  • Google Android
  • RIM BlackBerry

ПродуктИнформация

Тип

Поставщик

Имя

Лицензия

Веб-сайт

CPE 2.3Информация

CPE 2.2Информация

Скриншот

CVSSv4Информация

VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CVSSv3Информация

VulDB Meta Base Score: 7.3
VulDB Meta Temp Score: 7.3

VulDB Базовый балл: 7.3
VulDB Временная оценка: 7.3
VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CVSSv2Информация

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
ВекторСложностьАутентификацияКонфиденциальностьЦелостностьДоступность
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать

VulDB Базовый балл: 🔍
VulDB Временная оценка: 🔍
VulDB Надёжность: 🔍

ЭксплуатацияИнформация

Имя: Overlay
Класс: слабая аутентификация / Overlay
CWE: CWE-290 / CWE-287
CAPEC: 🔍
ATT&CK: 🔍

Физический: Нет
Локальный: Нет
Удалённый: Да

Доступность: 🔍
Доступ: публичный
Статус: Высокофункциональный
Язык программирования: 🔍
Скачать: 🔍
Прогноз цен: 🔍
Оценка текущей цены: 🔍

0-DayРазблокироватьРазблокироватьРазблокироватьРазблокировать
СегодняРазблокироватьРазблокироватьРазблокироватьРазблокировать

Разведка угрозИнформация

Интерес: 🔍
Активные акторы: 🔍
Активные группы APT: 🔍

КонтрмерыИнформация

Рекомендация: о смягчении не известно
Статус: 🔍

0-дневное время: 🔍

ХронологияИнформация

31.03.2015 🔍
01.04.2015 +1 дни 🔍
02.04.2015 +1 дни 🔍
16.04.2018 +1110 дни 🔍

ИсточникиИнформация

Поставщик: google.com

Консультация: Android apps in sheep's clothing
Исследователь: Tobias Ospelt
Организация: modzero AG
Статус: Подтверждённый
Спорный: 🔍

GCVE (VulDB): GCVE-100-74601
Разное: 🔍

ВходИнформация

Создано: 02.04.2015 15:33
Обновлено: 16.04.2018 11:53
Изменения: 02.04.2015 15:33 (56), 16.04.2018 11:53 (2)
Завершенный: 🔍
Cache ID: 216::103

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

Обсуждение

Комментариев пока нет. Языки: ru + be + en.

Пожалуйста, войдите в систему, чтобы прокомментировать.

◂ ПредыдущийОбзорДалее ▸

Want to know what is going to be exploited?

We predict KEV entries!