CVE-2025-63432
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Aplikacja Xtooltech Xtool AnyScan na Androida w wersji 4.40.40 i wcześniejszych nieprawidłowo waliduje certyfikat TLS serwera aktualizacji. Atakujący w tej samej sieci może przeprowadzić atak man-in-the-middle, przechwycić, odszyfrować i zmodyfikować ruch między aplikacją a serwerem aktualizacji, co stanowi podstawę do dalszych ataków, w tym zdalnego wykonania kodu.
Ocena ryzyka
Brak walidacji certyfikatu umożliwia atakującemu przechwycenie i modyfikację komunikacji, co może prowadzić do instalacji złośliwych aktualizacji i zdalnego wykonania kodu. Ryzyko dotyczy użytkowników korzystających z niezaufanych sieci.
Rekomendacja
Zaktualizuj aplikację do wersji z poprawną walidacją certyfikatów SSL/TLS. Do czasu wydania poprawki unikaj aktualizacji przez niezaufane sieci.
Inne podatności w Xtool AnyScan
Zobacz wszystkie- CVE-2025-63434Wysokie
Mechanizm aktualizacji w aplikacji Xtooltech Xtool AnyScan na Androida w wersji 4.40.40 i wcześniejszych jest niezabezpieczony. Aplikacja pobiera i rozpakowuje pakiety aktualizacji zawierające kod wykonywalny bez weryfikacji kryptograficznej integralności i autentyczności, co pozwala atakującemu kontrolującemu metadane aktualizacji dostarczyć złośliwy pakiet, który zostanie zaakceptowany, rozpakowany i wykonany, prowadząc do wykonania dowolnego kodu.
- CVE-2025-63433Średnie
Aplikacja Xtooltech Xtool AnyScan na Androida w wersji 4.40.40 i wcześniejszych używa zaszytego na stałe klucza kryptograficznego i IV do odszyfrowywania metadanych aktualizacji. Klucz jest przechowywany jako statyczna wartość w kodzie aplikacji. Atakujący mogący przechwycić ruch sieciowy może użyć tego klucza do odszyfrowania, modyfikacji i ponownego zaszyfrowania manifestu aktualizacji, kierując aplikację do pobrania złośliwego pakietu.
Oryginalny opis (angielski, źródło NVD)
Xtooltech Xtool AnyScan Android Application 4.40.40 and prior is Missing SSL Certificate Validation. The application fails to properly validate the TLS certificate from its update server. An attacker on the same network can exploit this vulnerability by performing a Man-in-the-Middle (MITM) attack to intercept, decrypt, and modify traffic between the application and the update server. This serves as the basis for further attacks, including Remote Code Execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS