PT-2020-13864 · Viber · Viber For Windows

Publicado 2020-06-22 · Atualizado 2021-07-21 · CVE-2020-14049

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Viber para Windows, versões até 13.2.0.39

Descrição

O problema decorre do fato de o Viber para Windows não colocar entre aspas corretamente seu manipulador de URI personalizado, permitindo que um site malicioso inicie o Viber com parâmetros arbitrários. Isso poderia forçar a vítima a enviar uma solicitação de autenticação NTLM, que poderia então ser retransmitida ou ter seu hash capturado para quebra de senha offline.

Recomendações

Para versões até 13.2.0.39, atualize para uma versão que coloque entre aspas corretamente seu manipulador de URI personalizado para evitar exploração maliciosa.

Exploit

Correção

Argument Injection

Enumeração de Fraquezas

CWE-88

Identificadores relacionados

CVE-2020-14049

Produtos afetados

Viber For Windows

Referências · 5

• 🔥 https://jeffs.sh/CVEs/CVE-2020-14049.txt · Exploit
• https://viber.com/en/security · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-14049 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-14049 · Aviso do Fabricante
• https://t.me/cvenotify/4584 · Publicação no Telegram