CVE-2025-63434
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Mechanizm aktualizacji w aplikacji Xtooltech Xtool AnyScan na Androida w wersji 4.40.40 i wcześniejszych jest niezabezpieczony. Aplikacja pobiera i rozpakowuje pakiety aktualizacji zawierające kod wykonywalny bez weryfikacji kryptograficznej integralności i autentyczności, co pozwala atakującemu kontrolującemu metadane aktualizacji dostarczyć złośliwy pakiet, który zostanie zaakceptowany, rozpakowany i wykonany, prowadząc do wykonania dowolnego kodu.
Ocena ryzyka
Atakujący może doprowadzić do wykonania dowolnego kodu na urządzeniu ofiary, przejmując kontrolę nad aplikacją i potencjalnie danymi użytkownika. Ryzyko dotyczy użytkowników podatnych wersji aplikacji Xtool AnyScan.
Rekomendacja
Zaktualizuj aplikację Xtool AnyScan do wersji nowszej niż 4.40.40, jeśli producent udostępnił poprawkę. Do czasu aktualizacji unikaj instalowania aplikacji z niezaufanych źródeł i ogranicz jej uprawnienia.
Inne podatności w Xtool AnyScan
Zobacz wszystkie- CVE-2025-63433Średnie
Aplikacja Xtooltech Xtool AnyScan na Androida w wersji 4.40.40 i wcześniejszych używa zaszytego na stałe klucza kryptograficznego i IV do odszyfrowywania metadanych aktualizacji. Klucz jest przechowywany jako statyczna wartość w kodzie aplikacji. Atakujący mogący przechwycić ruch sieciowy może użyć tego klucza do odszyfrowania, modyfikacji i ponownego zaszyfrowania manifestu aktualizacji, kierując aplikację do pobrania złośliwego pakietu.
- CVE-2025-63432Średnie
Aplikacja Xtooltech Xtool AnyScan na Androida w wersji 4.40.40 i wcześniejszych nieprawidłowo waliduje certyfikat TLS serwera aktualizacji. Atakujący w tej samej sieci może przeprowadzić atak man-in-the-middle, przechwycić, odszyfrować i zmodyfikować ruch między aplikacją a serwerem aktualizacji, co stanowi podstawę do dalszych ataków, w tym zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
The update mechanism in Xtooltech Xtool AnyScan Android Application 4.40.40 and prior is insecure. The application downloads and extracts update packages containing executable code without performing a cryptographic integrity or authenticity check on their contents. An attacker who can control the update metadata can serve a malicious package, which the application will accept, extract, and later execute, leading to arbitrary code execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS