PT-2020-9599 · Kaios · Kaios

Publicado 2020-09-14 · Atualizado 2021-07-21 · CVE-2019-14761

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.4

Média

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

KaiOS versão 2.5

Descrição

Foi descoberta uma vulnerabilidade no aplicativo Note pré-instalado, que está sujeito a ataques de injeção de HTML e JavaScript. Um invasor local pode injetar código HTML arbitrário no aplicativo Note, permitindo-lhe assumir o controle da interface do usuário do aplicativo. Isso poderia permitir que um invasor exibisse uma mensagem maliciosa ao usuário, solicitando que ele reinsira credenciais, como as de KaiOS, e também abuse de quaisquer privilégios disponíveis no aplicativo móvel.

Recomendações

Para a versão 2.5 do KaiOS, considere desativar o aplicativo Note até que uma correção esteja disponível para prevenir possíveis ataques de injeção de HTML e JavaScript. Restrinja o acesso ao aplicativo Note para minimizar o risco de exploração. Evite usar o aplicativo Note para tarefas confidenciais até que a falha seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2019-14761

Produtos afetados

Kaios

Referências · 5

• https://t.me/cibsecurity/14651 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2019-14761 · Aviso do Fabricante
• https://research.nccgroup.com/2020/08/21/technical-advisory-multiple-html-injection-vulnerabilities-in-kaios-pre-installed-mobile-applications · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2019-14761 · Nota de Segurança
• https://nccgroup.trust/us/our-research · Nota