USAA Mobile Banking 7.10.0/7.10.2 trên Android Screen Cache tiết lộ thông tin
| CVSS Điểm tạm thời meta | Giá khai thác hiện tại (≈) | Điểm quan tâm CTI |
|---|---|---|
| 3.0 | $0-$5k | 0.00 |
Tóm tắt
Một lỗ hổng bảo mật thuộc loại Có vấn đề đã được phát hiện ở USAA Mobile Banking 7.10.0/7.10.2 trên Android. Thành phần bị tác động gồm một hàm chưa được xác minh rõ nằm trong thành phần Screen Cache. Quá trình thao tác gây ra tiết lộ thông tin. Lỗ hổng bảo mật này được biết đến với mã CVE-2015-1314. Thêm vào đó, đã tồn tại mã khai thác. Nên nâng cấp thành phần bị ảnh hưởng.
Chi tiết
Một lỗ hổng bảo mật thuộc loại Có vấn đề đã được phát hiện ở USAA Mobile Banking 7.10.0/7.10.2 trên Android. Thành phần bị tác động gồm một hàm chưa được xác minh rõ nằm trong thành phần Screen Cache. Quá trình thao tác gây ra tiết lộ thông tin. Sự cố này được xác định là CWE-200 thông qua CWE. Lỗ hổng này đã được phát hành vào ngày 22/01/2015 bởi David Longenecker với mã USAA mobile app gives away personal data; fix released dưới loại Mailinglist Post (Full-Disclosure). Khuyến cáo có sẵn để tải tại seclists.org.
Lỗ hổng bảo mật này được biết đến với mã CVE-2015-1314. CVE được gán vào ngày 22/01/2015. Không có chi tiết kỹ thuật nào được cung cấp. Độ phổ biến của lỗ hổng này vượt mức trung bình. Thêm vào đó, đã tồn tại mã khai thác. Khai thác đã được tiết lộ cho công chúng và có thể bị sử dụng. Hiện thời, giá của một exploit có thể vào khoảng USD $0-$5k. Dự án MITRE ATT&CK tuyên bố kỹ thuật tấn công là T1592. Khuyến nghị nêu rõ:
By design, the USAA Mobile app for Android allows users to select whether to log out immediately upon task-switching (i.e. being interrupted by a phone call or notification), or to stay logged in for up to 20 minutes. When "Stay logged in" is enabled however, versions prior to 7.10.1 display the last-viewed screen before prompting the user to log back in. If that last screen contained sensitive information, such as account numbers and balances, it becomes possible for one to obtain this information without authorization. Whether it were 20 minutes later, or a week later, launching the USAA mobile app would show personal information briefly before blanking the screen and prompting for a password or PIN.
Nó được tuyên bố là bằng chứng khái niệm. Đường dẫn tải mã khai thác: dnlongen.blogspot.com. Lỗ hổng này đã được xử lý như một khai thác zero-day không công khai trong ít nhất 20 ngày. Là 0-day, giá chợ đen ước tính khoảng $5k-$25k.
Nâng cấp lên phiên bản 7.10.1 có thể khắc phục sự cố này. Nên nâng cấp thành phần bị ảnh hưởng. Khuyến cáo có ghi chú như sau:
With the 7.10.1 version, instead of seeing a screen full of personal information, the app opens to a benign menu that has no personal information. Upon choosing a menu option that would show private data, the user is prompted to log in before any data is shown. (...) Unfortunately, version 7.12.2 of the Android app appears to have re-introduced this flaw. I have again reported it to USAA and hope for a quick fix.
Lỗ hổng cũng được ghi lại trong các cơ sở dữ liệu lỗ hổng khác: SecurityFocus (BID 74202).
Không bị ảnh hưởng
- USAA Mobile Banking 7.10.1
Sản phẩm
Loại
Nhà cung cấp
Tên
Phiên bản
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vector: 🔍VulDB Độ tin cậy: 🔍
CVSSv3
VulDB Điểm cơ sở meta: 3.3VulDB Điểm tạm thời meta: 3.0
VulDB Điểm cơ sở: 3.3
VulDB Điểm tạm thời: 3.0
VulDB Vector: 🔍
VulDB Độ tin cậy: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Véc-tơ | Độ phức tạp | Xác thực | Bí mật | Toàn vẹn | Khả dụng |
|---|---|---|---|---|---|
| Mở khóa | Mở khóa | Mở khóa | Mở khóa | Mở khóa | Mở khóa |
| Mở khóa | Mở khóa | Mở khóa | Mở khóa | Mở khóa | Mở khóa |
| Mở khóa | Mở khóa | Mở khóa | Mở khóa | Mở khóa | Mở khóa |
VulDB Điểm cơ sở: 🔍
VulDB Điểm tạm thời: 🔍
VulDB Độ tin cậy: 🔍
NVD Điểm cơ sở: 🔍
Khai thác
Lớp: Tiết lộ thông tinCWE: CWE-200 / CWE-284 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍
Vật lý: Một phần
Cục bộ: Có
Từ xa: Không
Khả dụng: 🔍
Truy cập: Công khai
Trạng thái: Bằng chứng khái niệm
Tác giả: David Longenecker
Tải xuống: 🔍
EPSS Score: 🔍
EPSS Percentile: 🔍
Dự đoán giá: 🔍
Ước tính giá hiện tại: 🔍
| 0-Day | Mở khóa | Mở khóa | Mở khóa | Mở khóa |
|---|---|---|---|---|
| Hôm nay | Mở khóa | Mở khóa | Mở khóa | Mở khóa |
Tình báo mối đe dọa
Sự quan tâm: 🔍Diễn viên đang hoạt động: 🔍
Nhóm APT đang hoạt động: 🔍
Biện pháp đối phó
Khuyến nghị: nâng cấpTrạng thái: 🔍
Thời gian phản ứng: 🔍
Thời gian 0-ngày: 🔍
Thời gian trễ khai thác: 🔍
nâng cấp: Mobile Banking 7.10.1
dòng thời gian
30/12/2014 🔍19/01/2015 🔍
22/01/2015 🔍
22/01/2015 🔍
22/01/2015 🔍
16/04/2015 🔍
16/04/2015 🔍
17/04/2015 🔍
04/09/2017 🔍
Nguồn
Khuyến cáo: USAA mobile app gives away personal data; fix releasedNhà nghiên cứu: David Longenecker
Trạng thái: Đã xác nhận
CVE: CVE-2015-1314 (🔍)
GCVE (CVE): GCVE-0-2015-1314
GCVE (VulDB): GCVE-100-74988
SecurityFocus: 74202 - USAA Mobile for Android CVE-2015-1314 Information Disclosure Vulnerability
scip Labs: https://www.scip.ch/en/?labs.20130704
Khác: 🔍
mục
Được tạo: 17/04/2015 10:25Đã cập nhật: 04/09/2017 09:23
Thay đổi: 17/04/2015 10:25 (67), 04/09/2017 09:23 (6)
Hoàn chỉnh: 🔍
Cache ID: 216::103
Once again VulDB remains the best source for vulnerability data.
Chưa có bình luận nào Ngôn ngữ: vi + km + en.
Vui lòng đăng nhập để bình luận