PT-2021-14466 · Apkleaks · Apkleaks

Ry0Tak · Publicado 2021-03-24 · Atualizado 2022-01-21 · CVE-2021-21386

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do APKLeaks anteriores à 2.0.6-dev

Descrição

O APKLeaks é um projeto de código aberto para a verificação de arquivos APK em busca de URIs, endpoints e segredos. A vulnerabilidade permite que invasores remotos executem comandos arbitrários do sistema operacional por meio do nome do pacote dentro do manifesto do aplicativo. Um invasor poderia incluir argumentos que permitam a execução de comandos ou códigos indesejados, a leitura ou modificação de dados confidenciais, ou que causem outros comportamentos indesejados por meio de um nome do pacote malicioso.

Recomendações

Para versões anteriores à 2.0.6-dev, atualize para a versão 2.0.6-dev ou superior para resolver a vulnerabilidade. Como solução temporária, considere restringir o uso do nome do pacote dentro do manifesto do aplicativo para minimizar o risco de exploração.

Correção

Argument Injection

OS Command Injection

Enumeração de Fraquezas

CWE-88

CWE-78

Identificadores relacionados

CVE-2021-21386

GHSA-8434-V7XW-8M9X

Produtos afetados

Apkleaks

Referências · 7

• https://github.com/dwisiswant0/apkleaks/security/advisories/GHSA-8434-v7xw-8m9x · Correção
• https://github.com/dwisiswant0/apkleaks/commit/a966e781499ff6fd4eea66876d7532301b13a382 · Correção
• https://github.com/dwisiswant0/apkleaks · Nota
• https://osv.dev/vulnerability/GHSA-8434-v7xw-8m9x · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-21386 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-21386 · Nota de Segurança
• https://t.me/cvenotify/12102 · Publicação no Telegram