CVE-2017-11132
WysokieStreszczenie
W aplikacji heinekingmedia StashCat przed wersją 1.5.18 dla systemu Android zidentyfikowano problem związany z brakiem implementacji pinning certyfikatów. W związku z tym atakujący mógłby wystawić certyfikat dla backendu, a aplikacja nie zauważyłaby tego.
Ocena ryzyka
Brak pinning certyfikatów naraża aplikację na ataki typu man-in-the-middle, co może prowadzić do przechwytywania danych użytkowników oraz nieautoryzowanego dostępu do backendu.
Rekomendacja
Zaleca się aktualizację aplikacji do wersji 1.5.18 lub nowszej, aby wdrożyć odpowiednie zabezpieczenia związane z pinningiem certyfikatów.
Inne podatności w heinekingmedia StashCat
Zobacz wszystkie- CVE-2017-11133Wysokie
W aplikacji heinekingmedia StashCat występuje problem z generowaniem kluczy szyfrujących dla wiadomości. Wykorzystanie AES w trybie CBC z pseudo-losowym sekretem, generowanym za pomocą math.random(), nie zapewnia odpowiedniego poziomu bezpieczeństwa.
- CVE-2017-11130Wysokie
W produkcie heinekingmedia StashCat zidentyfikowano problem związany z brakiem weryfikacji integralności i autentyczności w protokole. Wersje dotknięte to 1.7.5 dla Androida, 0.0.80w dla Web oraz 0.0.86 dla Desktop.
- CVE-2017-11129Krytyczne
W aplikacji heinekingmedia StashCat w wersji do 1.7.5 dla systemu Android zidentyfikowano problem związany z przechowywaniem kluczy. Keystore jest zabezpieczony twardo zakodowanym hasłem, co umożliwia każdemu z dostępem do keystore odczytanie jego zawartości, w tym prywatnego klucza użytkownika.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in heinekingmedia StashCat before 1.5.18 for Android. No certificate pinning is implemented; therefore the attacker could issue a certificate for the backend and the application would not notice it.