PT-2024-21291 · Unknown · Element Android

Smaury + 2 · Publicado 2024-02-20 · Atualizado 2024-05-05 · CVE-2024-26132

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.0

Média

Vetor base

AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Element Android de 0.91.0 a 1.6.12

Descrição

Um aplicativo malicioso de terceiros instalado no mesmo telefone pode forçar o Element Android a compartilhar arquivos armazenados no diretório files, localizado no diretório de dados privados do aplicativo, com uma sala arbitrária. O impacto do ataque é reduzido pelo fato de que os bancos de dados armazenados nessa pasta são criptografados. No entanto, ela contém algumas outras informações potencialmente confidenciais, como o token FCM.

Recomendações

Para as versões do Element Android 0.91.0 a 1.6.11, atualize para a versão 1.6.12 para resolver o problema.

Para bifurcações do Element Android que tenham definido android:exported=“false” no arquivo AndroidManifest.xml para a atividade IncomingShareActivity, nenhuma ação é necessária, pois elas não são afetadas.

Exploit

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2024-26132

GHSA-8WJ9-CX7H-PVM4

Produtos afetados

Element Android

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/26xxx/CVE-2024-26132.json · Exploit
• https://github.com/element-hq/element-android/security/advisories/GHSA-8wj9-cx7h-pvm4 · Aviso do Fabricante
• https://github.com/element-hq/element-android/commit/8f9695a9a8d944cb9b92568cbd76578c51d32e07 · Correção
• https://twitter.com/cr0n0sh4/status/1781151717406445849 · Publicação no Twitter
• https://t.me/cybersecuritytechnologies/10433 · Publicação no Telegram
• https://t.me/rnetsec/20272 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1763097412187443211 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-26132 · Aviso do Fabricante
• https://twitter.com/payloadartist/status/1781024892260888843 · Publicação no Twitter
• https://t.me/defcon_news/123030 · Publicação no Telegram
• https://twitter.com/Bug_X_hunter/status/1786252454029631833 · Publicação no Twitter
• https://element.io/blog/security-release-element-android-1-6-12 · Correção
• https://twitter.com/Dinosn/status/1787114822959595671 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-26132 · Nota de Segurança
• https://twitter.com/CVEnew/status/1760010973027479949 · Publicação no Twitter