CVE-2025-14022
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Klient LINE dla iOS w wersjach wcześniejszych niż 15.4 umożliwia ataki typu man-in-the-middle z powodu nieprawidłowej walidacji certyfikatów SSL/TLS w zintegrowanym SDK finansowym. SDK zakłócało przetwarzanie sieciowe aplikacji, powodując wyłączenie weryfikacji certyfikatów serwera dla znacznej części ruchu sieciowego, co mogło pozwolić atakującemu w sieci na przechwycenie lub modyfikację zaszyfrowanej komunikacji.
Ocena ryzyka
Atakujący może przechwytywać i modyfikować komunikację, co może prowadzić do kradzieży danych wrażliwych, w tym danych finansowych użytkowników.
Rekomendacja
Zaleca się aktualizację klienta LINE dla iOS do wersji 15.4 lub nowszej, aby zapewnić prawidłową walidację certyfikatów.
Inne podatności w LINE client for iOS
Zobacz wszystkie- CVE-2026-3861Średnie
Klient LINE dla iOS w wersjach przed 26.3.0 zawiera podatność w przeglądarce wbudowanej, gdzie otwarcie spreparowanej strony internetowej może wielokrotnie wywoływać okna dialogowe na poziomie systemu operacyjnego z powodu niewystarczających zabezpieczeń przy obsłudze dowolnych schematów URL, co może spowodować tymczasową niesprawność urządzenia z iOS.
- CVE-2025-14023Niskie
LINE client for iOS przed wersją 15.19 pozwala na podszywanie się pod interfejs użytkownika z powodu niespójności między stanem nawigacji a interfejsem przeglądarki w aplikacji, co może wprowadzać w błąd co do kontekstu zaufania wyświetlanych stron lub elementów interaktywnych w określonych warunkach.
- CVE-2025-14021Średnie
Przeglądarka wbudowana w aplikacji LINE dla systemu iOS w wersjach przed 14.14 jest podatna na fałszowanie paska adresu, co może pozwolić atakującym na wykonanie złośliwego JavaScript w ramkach iframe przy jednoczesnym wyświetlaniu zaufanych adresów URL, umożliwiając ataki phishingowe poprzez nakładanie złośliwych treści.
Oryginalny opis (angielski, źródło NVD)
LINE client for iOS prior to 15.4 allows man-in-the-middle attacks due to improper SSL/TLS certificate validation in an integrated financial SDK. The SDK interfered with the application's network processing, causing server certificate verification to be disabled for a significant portion of network traffic, which could allow a network-adjacent attacker to intercept or modify encrypted communications.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS