CVE-2017-11130
WysokieStreszczenie
W produkcie heinekingmedia StashCat zidentyfikowano problem związany z brakiem weryfikacji integralności i autentyczności w protokole. Wersje dotknięte to 1.7.5 dla Androida, 0.0.80w dla Web oraz 0.0.86 dla Desktop.
Ocena ryzyka
Brak odpowiednich zabezpieczeń może umożliwić atakującym przeprowadzanie ataków typu man-in-the-middle oraz ataków powtórkowych, co stwarza poważne zagrożenie dla poufności danych.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji, która wprowadza odpowiednie mechanizmy weryfikacji integralności i autentyczności.
Inne podatności w heinekingmedia StashCat
Zobacz wszystkie- CVE-2017-11133Wysokie
W aplikacji heinekingmedia StashCat występuje problem z generowaniem kluczy szyfrujących dla wiadomości. Wykorzystanie AES w trybie CBC z pseudo-losowym sekretem, generowanym za pomocą math.random(), nie zapewnia odpowiedniego poziomu bezpieczeństwa.
- CVE-2017-11132Wysokie
W aplikacji heinekingmedia StashCat przed wersją 1.5.18 dla systemu Android zidentyfikowano problem związany z brakiem implementacji pinning certyfikatów. W związku z tym atakujący mógłby wystawić certyfikat dla backendu, a aplikacja nie zauważyłaby tego.
- CVE-2017-11129Krytyczne
W aplikacji heinekingmedia StashCat w wersji do 1.7.5 dla systemu Android zidentyfikowano problem związany z przechowywaniem kluczy. Keystore jest zabezpieczony twardo zakodowanym hasłem, co umożliwia każdemu z dostępem do keystore odczytanie jego zawartości, w tym prywatnego klucza użytkownika.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in heinekingmedia StashCat through 1.7.5 for Android, through 0.0.80w for Web, and through 0.0.86 for Desktop. The product's protocol only tries to ensure confidentiality. In the whole protocol, no integrity or authenticity checks are done. Therefore man-in-the-middle attackers can conduct replay attacks.