CVE-2017-15999
KrytyczneStreszczenie
W aplikacji 'NQ Contacts Backup & Restore' w wersji 1.1 dla systemu Android nie użyto HTTPS do przesyłania danych logowania oraz zsynchronizowanych danych użytkownika. Nazwa użytkownika jest przesyłana w postaci niezaszyfrowanej, a hasło jako skrót SHA-1.
Ocena ryzyka
Atakujący może przechwycić dane logowania, co prowadzi do możliwości złamania skrótu hasła lub wykorzystania go w dalszych atakach. To stwarza poważne zagrożenie dla bezpieczeństwa danych użytkowników.
Rekomendacja
Zaleca się wprowadzenie HTTPS do aplikacji w celu zabezpieczenia transmisji danych logowania oraz zsynchronizowanych danych użytkownika. Należy również rozważyć użycie silniejszych algorytmów haszujących dla haseł.
Oryginalny opis (angielski, źródło NVD)
In the "NQ Contacts Backup & Restore" application 1.1 for Android, no HTTPS is used for transmitting login and synced user data. When logging in, the username is transmitted in cleartext along with an SHA-1 hash of the password. The attacker can either crack this hash or use it for further attacks where only the hash value is required.