CVE-2017-11133
WysokieStreszczenie
W aplikacji heinekingmedia StashCat występuje problem z generowaniem kluczy szyfrujących dla wiadomości. Wykorzystanie AES w trybie CBC z pseudo-losowym sekretem, generowanym za pomocą math.random(), nie zapewnia odpowiedniego poziomu bezpieczeństwa.
Ocena ryzyka
Organizacje mogą być narażone na odszyfrowanie wiadomości przez osoby trzecie, co prowadzi do utraty poufności danych. Słabość algorytmu szyfrowania może skutkować poważnymi konsekwencjami dla bezpieczeństwa informacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji StashCat, która poprawia sposób generowania kluczy szyfrujących. Należy również rozważyć wdrożenie dodatkowych środków zabezpieczających dla przesyłanych danych.
Inne podatności w heinekingmedia StashCat
Zobacz wszystkie- CVE-2017-11132Wysokie
W aplikacji heinekingmedia StashCat przed wersją 1.5.18 dla systemu Android zidentyfikowano problem związany z brakiem implementacji pinning certyfikatów. W związku z tym atakujący mógłby wystawić certyfikat dla backendu, a aplikacja nie zauważyłaby tego.
- CVE-2017-11130Wysokie
W produkcie heinekingmedia StashCat zidentyfikowano problem związany z brakiem weryfikacji integralności i autentyczności w protokole. Wersje dotknięte to 1.7.5 dla Androida, 0.0.80w dla Web oraz 0.0.86 dla Desktop.
- CVE-2017-11129Krytyczne
W aplikacji heinekingmedia StashCat w wersji do 1.7.5 dla systemu Android zidentyfikowano problem związany z przechowywaniem kluczy. Keystore jest zabezpieczony twardo zakodowanym hasłem, co umożliwia każdemu z dostępem do keystore odczytanie jego zawartości, w tym prywatnego klucza użytkownika.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in heinekingmedia StashCat through 1.7.5 for Android, through 0.0.80w for Web, and through 0.0.86 for Desktop. To encrypt messages, AES in CBC mode is used with a pseudo-random secret. This secret and the IV are generated with math.random() in previous versions and with CryptoJS.lib.WordArray.random() in newer versions, which uses math.random() internally. This is not cryptographically strong.