PT-2020-9598 · Kaios · Kaios

Publicado 2020-09-14 · Atualizado 2021-07-21 · CVE-2019-14760

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.4

Média

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

KaiOS versão 2.5

Descrição

Foi descoberta uma vulnerabilidade no aplicativo Recorder pré-instalado, que está sujeito a ataques de injeção de HTML e JavaScript. Um invasor local pode injetar código HTML arbitrário no aplicativo Recorder, permitindo-lhe assumir o controle da interface do usuário do aplicativo. Isso pode levar à exibição de uma mensagem maliciosa ao usuário, solicitando que ele reinsira credenciais, como as de KaiOS, e também permite que um invasor abuse de quaisquer privilégios disponíveis no aplicativo móvel.

Recomendações

Para o KaiOS versão 2.5, considere desativar o aplicativo Recorder até que uma correção esteja disponível para evitar possíveis ataques de injeção de HTML e JavaScript. Restrinja o acesso ao aplicativo Recorder para minimizar o risco de exploração. Evite usar o aplicativo Recorder para tarefas confidenciais até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2019-14760

Produtos afetados

Kaios

Referências · 5

• https://t.me/cibsecurity/14652 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2019-14760 · Nota de Segurança
• https://research.nccgroup.com/2020/08/21/technical-advisory-multiple-html-injection-vulnerabilities-in-kaios-pre-installed-mobile-applications · Nota
• https://nccgroup.trust/us/our-research · Nota
• https://osv.dev/vulnerability/CVE-2019-14760 · Aviso do Fabricante