Aplikacja mobilna Meatmeet zawiera zakodowane na stałe dane uwierzytelniające (credentials) do sieci Wi-Fi producenta. Podatność może umożliwić nieautoryzowany dostęp do sieci Wi-Fi vendora lub przeprowadzenie ataku typu evil twin access point.
▸ Pokaż oryginał (EN)
The mobile application was found to contain stored credentials for the network it was developed on. If an attacker retrieved this, and found the physical location of the Wi-Fi network, they could gain unauthorized access to the Wi-Fi network of the vendor. Additionally, if an attacker were located in close physical proximity to the device when it was first set up, they may be able to force the device to auto-connect to an attacker-controlled access point by setting the SSID and password to the same as which was found in the firmware file.
W aplikacji mobilnej odkryto przechowywane w postaci jawnej (plaintext) dane logowania do sieci Wi-Fi, na której produkt był rozwijany (CWE-312: Cleartext Storage of Sensitive Information). Atakujący, który pozyska plik aplikacji lub firmware, może odczytać nazwę sieci (SSID) oraz hasło. Jeśli ustali fizyczną lokalizację tej sieci, może próbować uzyskać do niej nieautoryzowany dostęp. Ponadto, atakujący przebywający w bliskim zasięgu fizycznym urządzenia podczas jego pierwszej konfiguracji może skonfigurować własny punkt dostępowy z identycznym SSID i hasłem, wymuszając automatyczne połączenie urządzenia z kontrolowaną przez siebie siecią.
Atakujący może uzyskać nieautoryzowany dostęp do sieci Wi-Fi producenta lub przeprowadzić atak man-in-the-middle poprzez podstawienie złośliwego punktu dostępowego, co może prowadzić do przechwycenia ruchu sieciowego urządzenia.
Należy usunąć hardcoded credentials z kodu aplikacji mobilnej i plików firmware. Dane uwierzytelniające powinny być przechowywane w bezpieczny, zaszyfrowany sposób lub nie powinny być w ogóle zawarte w dystrybucji aplikacji. Należy zastosować patche dostępne u producenta zgodnie z referencjami.
Aplikacja mobilna Meatmeet (produkt Meatmeet); konkretne wersje wskazane w referencjach producenta
Podatność została udokumentowana przez badacza dead1nfluence i opublikowana w serwisie GitHub wraz z szczegółowym opisem technicznym (referencje wskazują na publiczne Proof of Concept). Atak wymaga bliskiej fizycznej obecności atakującego lub wcześniejszego pozyskania pliku aplikacji/firmware.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HMeatmeet
APPMeatmeet1.1.2.0
Powiązane podatności
Ujawnienie informacji o nieopublikowanych urządzeniach w aplikacji Meatmeet Android
Meatmeet – transmisja danych w czystym tekście (HTTP), przechwycenie tokenów uwierzytelniania
Brak walidacji certyfikatu TLS w aplikacji mobilnej Meatmeet
The application uses an insecure hashing algorithm (MD5) to hash passwords. If an attacker obtained a copy of ...
The mobile application insecurely handles information stored within memory. By performing a memory dump on the...