CVE-2017-11129
KrytyczneStreszczenie
W aplikacji heinekingmedia StashCat w wersji do 1.7.5 dla systemu Android zidentyfikowano problem związany z przechowywaniem kluczy. Keystore jest zabezpieczony twardo zakodowanym hasłem, co umożliwia każdemu z dostępem do keystore odczytanie jego zawartości, w tym prywatnego klucza użytkownika.
Ocena ryzyka
Dostęp do kluczy prywatnych może prowadzić do poważnych naruszeń bezpieczeństwa, w tym kradzieży tożsamości użytkowników oraz nieautoryzowanego dostępu do danych.
Rekomendacja
Zaleca się usunięcie twardo zakodowanego hasła oraz wdrożenie bezpieczniejszych metod zarządzania kluczami, aby ograniczyć dostęp do wrażliwych danych.
Inne podatności w heinekingmedia StashCat
Zobacz wszystkie- CVE-2017-11133Wysokie
W aplikacji heinekingmedia StashCat występuje problem z generowaniem kluczy szyfrujących dla wiadomości. Wykorzystanie AES w trybie CBC z pseudo-losowym sekretem, generowanym za pomocą math.random(), nie zapewnia odpowiedniego poziomu bezpieczeństwa.
- CVE-2017-11132Wysokie
W aplikacji heinekingmedia StashCat przed wersją 1.5.18 dla systemu Android zidentyfikowano problem związany z brakiem implementacji pinning certyfikatów. W związku z tym atakujący mógłby wystawić certyfikat dla backendu, a aplikacja nie zauważyłaby tego.
- CVE-2017-11130Wysokie
W produkcie heinekingmedia StashCat zidentyfikowano problem związany z brakiem weryfikacji integralności i autentyczności w protokole. Wersje dotknięte to 1.7.5 dla Androida, 0.0.80w dla Web oraz 0.0.86 dla Desktop.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in heinekingmedia StashCat through 1.7.5 for Android. The keystore is locked with a hard-coded password. Therefore, everyone with access to the keystore can read the content out, for example the private key of the user.