Google Android до 4.2 APK Package Signature слабое шифрование ⚔ [Спорный]

CVSS Meta Temp ScoreТекущая цена эксплойта (≈)Балл интереса CTI
7.3$0-$5k0.00

СводкаИнформация

Уязвимость была найдена в Google Android. Она была оценена как критический. Затронута неизвестная функция компонента APK Package Signature Handler. Выполнение манипуляции приводит к слабое шифрование. Эта уязвимость обозначается как CVE-2013-4787. Более того, существует эксплойт. Эта уязвимость считается исторически значимой из-за своего контекста и отклика. В настоящее время реальное существование этой уязвимости все еще вызывает сомнения. Рекомендуется применить патч для устранения этой проблемы.

ПодробностиИнформация

Уязвимость была найдена в Google Android. Она была оценена как критический. Затронута неизвестная функция компонента APK Package Signature Handler. Выполнение манипуляции приводит к слабое шифрование. Использование CWE для объявления проблемы приводит к тому, что CWE-310. Данная уязвимость была опубликована 03.07.2013 исследователем Jeff Forristal при поддержке Bluebox Security с идентификатором Android Security Bug 8219321 в виде Blog Post (Веб-сайт). Консультация доступна для загрузки на bluebox.com. Продавец сотрудничал в координации публичного релиза. Раскрытие содержит:

[A] vulnerability in Android’s security model that allows a hacker to modify APK code without breaking an application’s cryptographic signature, to turn any legitimate application into a malicious Trojan, completely unnoticed by the app store, the phone, or the end user. (…) This vulnerability, around at least since the release of Android 1.6 (codename: “Donut” ), could affect any Android phone released in the last 4 years – or nearly 900 million devices – and depending on the type of application, a hacker can exploit the vulnerability for anything from data theft to creation of a mobile botnet.

Эта уязвимость обозначается как CVE-2013-4787. Назначение CVE произошло 09.07.2013. Технические подробности отсутствуют. Данная уязвимость пользуется популярностью выше среднего уровня. Более того, существует эксплойт. Эксплойт был раскрыт общественности и может быть использован. В настоящее время текущая цена эксплойта может составлять примерно USD $0-$5k. Согласно MITRE ATT&CK, техника атаки, используемая в данной проблеме, имеет значение T1600. Эта уязвимость считается исторически значимой из-за своего контекста и отклика. В уведомлении отмечается:

All Android applications contain cryptographic signatures, which Android uses to determine if the app is legitimate and to verify that the app hasn’t been tampered with or modified. This vulnerability makes it possible to change an application’s code without affecting the cryptographic signature of the application – essentially allowing a malicious author to trick Android into believing the app is unchanged even if it has been.

Объявляется Доказательство концепции. Эксплойт можно скачать по ссылке gist.github.com. Как 0-day, оценочная цена на теневом рынке составляла примерно $25k-$100k. В предупреждении говорится:

Installation of a Trojan application from the device manufacturer can grant the application full access to Android system and all applications (and their data) currently installed. The application then not only has the ability to read arbitrary application data on the device (email, SMS messages, documents, etc.), retrieve all stored account & service passwords, it can essentially take over the normal functioning of the phone and control any function thereof (make arbitrary phone calls, send arbitrary SMS messages, turn on the camera, and record calls). Finally, and most unsettling, is the potential for a hacker to take advantage of the always-on, always-connected, and always-moving (therefore hard-to-detect) nature of these “zombie” mobile devices to create a botnet.
В настоящее время реальное существование этой уязвимости все еще вызывает сомнения.

Обновление до 2013-07-07 может устранить эту уязвимость. В качестве альтернативы можно рассмотреть Apple iOS/Microsoft Windows Phone. Рекомендуется применить патч для устранения этой проблемы. В предупреждении указано следующее:

It’s up to device manufacturers to produce and release firmware updates for mobile devices (and furthermore for users to install these updates). The availability of these updates will widely vary depending upon the manufacturer and model in question.

Данная уязвимость также присутствует в других базах данных уязвимостей: SecurityFocus (BID 60952), X-Force (85500) и Vulnerability Center (SBV-42084).

ПродуктИнформация

Тип

Поставщик

Имя

Версия

Лицензия

Веб-сайт

CPE 2.3Информация

CPE 2.2Информация

Скриншот

CVSSv4Информация

VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CVSSv3Информация

VulDB Meta Base Score: 8.1
VulDB Meta Temp Score: 7.3

VulDB Базовый балл: 8.1
VulDB Временная оценка: 7.3
VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CVSSv2Информация

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
ВекторСложностьАутентификацияКонфиденциальностьЦелостностьДоступность
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать

VulDB Базовый балл: 🔍
VulDB Временная оценка: 🔍
VulDB Надёжность: 🔍

NVD Базовый балл: 🔍

ЭксплуатацияИнформация

Класс: слабое шифрование
CWE: CWE-310
CAPEC: 🔍
ATT&CK: 🔍

Физический: Нет
Локальный: Нет
Удалённый: Да

Доступность: 🔍
Доступ: публичный
Статус: Доказательство концепции
Автор: Jeff Forristal
Скачать: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Прогноз цен: 🔍
Оценка текущей цены: 🔍

0-DayРазблокироватьРазблокироватьРазблокироватьРазблокировать
СегодняРазблокироватьРазблокироватьРазблокироватьРазблокировать

Exploit-DB: 🔍

Разведка угрозИнформация

Интерес: 🔍
Активные акторы: 🔍
Активные группы APT: 🔍

КонтрмерыИнформация

Рекомендация: Патч
Статус: 🔍

0-дневное время: 🔍
Задержка эксплуатации: 🔍

Обновление: Android 2013-07-07
Альтернатива: Apple iOS/Microsoft Windows Phone

ХронологияИнформация

01.02.2013 🔍
03.07.2013 +152 дни 🔍
03.07.2013 +0 дни 🔍
04.07.2013 +1 дни 🔍
09.07.2013 +5 дни 🔍
09.07.2013 +0 дни 🔍
01.08.2013 +23 дни 🔍
24.10.2013 +84 дни 🔍
11.06.2024 +3883 дни 🔍

ИсточникиИнформация

Поставщик: google.com

Консультация: Android Security Bug 8219321
Исследователь: Jeff Forristal
Организация: Bluebox Security
Статус: Не определено
Скоординированный: 🔍
Спорный: 🔍

CVE: CVE-2013-4787 (🔍)
GCVE (CVE): GCVE-0-2013-4787
GCVE (VulDB): GCVE-100-9315
X-Force: 85500
SecurityFocus: 60952
OSVDB: 94773
Vulnerability Center: 42084 - Google Android 1.6 - 4.2 Remote Code Execution Vulnerability Using Master Key to Change APK Code, Critical

scip Labs: https://www.scip.ch/en/?labs.20150917
Разное: 🔍
Смотрите также: 🔍

ВходИнформация

Создано: 04.07.2013 11:22
Обновлено: 11.06.2024 11:56
Изменения: 04.07.2013 11:22 (70), 14.05.2017 09:34 (18), 11.06.2024 11:56 (17)
Завершенный: 🔍
Cache ID: 216::103

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

Обсуждение

Комментариев пока нет. Языки: ru + be + en.

Пожалуйста, войдите в систему, чтобы прокомментировать.

◂ ПредыдущийОбзорДалее ▸

Interested in the pricing of exploits?

See the underground prices here!