CVE-2025-63433
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Aplikacja Xtooltech Xtool AnyScan na Androida w wersji 4.40.40 i wcześniejszych używa zaszytego na stałe klucza kryptograficznego i IV do odszyfrowywania metadanych aktualizacji. Klucz jest przechowywany jako statyczna wartość w kodzie aplikacji. Atakujący mogący przechwycić ruch sieciowy może użyć tego klucza do odszyfrowania, modyfikacji i ponownego zaszyfrowania manifestu aktualizacji, kierując aplikację do pobrania złośliwego pakietu.
Ocena ryzyka
Atakujący w tej samej sieci może doprowadzić do instalacji złośliwej aktualizacji, co może skutkować przejęciem urządzenia lub wykonaniem dowolnego kodu. Ryzyko dotyczy wszystkich użytkowników aplikacji korzystających z niezaufanych sieci.
Rekomendacja
Zaktualizuj aplikację do wersji, w której usunięto zaszyty klucz, lub wstrzymaj jej używanie do czasu wydania poprawki. Rozważ stosowanie VPN lub zaufanych sieci podczas aktualizacji.
Inne podatności w Xtool AnyScan
Zobacz wszystkie- CVE-2025-63434Wysokie
Mechanizm aktualizacji w aplikacji Xtooltech Xtool AnyScan na Androida w wersji 4.40.40 i wcześniejszych jest niezabezpieczony. Aplikacja pobiera i rozpakowuje pakiety aktualizacji zawierające kod wykonywalny bez weryfikacji kryptograficznej integralności i autentyczności, co pozwala atakującemu kontrolującemu metadane aktualizacji dostarczyć złośliwy pakiet, który zostanie zaakceptowany, rozpakowany i wykonany, prowadząc do wykonania dowolnego kodu.
- CVE-2025-63432Średnie
Aplikacja Xtooltech Xtool AnyScan na Androida w wersji 4.40.40 i wcześniejszych nieprawidłowo waliduje certyfikat TLS serwera aktualizacji. Atakujący w tej samej sieci może przeprowadzić atak man-in-the-middle, przechwycić, odszyfrować i zmodyfikować ruch między aplikacją a serwerem aktualizacji, co stanowi podstawę do dalszych ataków, w tym zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
Xtooltech Xtool AnyScan Android Application 4.40.40 and prior uses a hardcoded cryptographic key and IV to decrypt update metadata. The key is stored as a static value within the application's code. An attacker with the ability to intercept network traffic can use this hardcoded key to decrypt, modify, and re-encrypt the update manifest, allowing them to direct the application to download a malicious update package.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS