PT-2020-12916 · O2 · O2 Business
Publicado
2020-07-03
·
Atualizado
2020-07-15
·
CVE-2020-11882
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Aplicativo O2 Business, versão 1.2.0
Descrição
O aplicativo O2 Business para Android expõe a atividade
canvasm.myo2.SplashActivity a outros aplicativos, a qual lida com deeplinks que podem ser entregues por meio de links ou chamando diretamente a atividade. No entanto, o formato do deeplink não é validado adequadamente, permitindo que um invasor redirecione um usuário para qualquer página e entregue qualquer conteúdo ao usuário.Recomendações
Para a versão 1.2.0 do aplicativo O2 Business, considere desativar a atividade
canvasm.myo2.SplashActivity até que uma correção esteja disponível para impedir a exploração. Restrinja o acesso a essa atividade para minimizar o risco de ataques de redirecionamento. Evite usar links diretos no aplicativo afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.Exploit
Open Redirect
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
O2 Business