PT-2025-43966 · Unknown · Privacyidea Authenticator

CVE-2025-61482 · Publicado 2025-10-27 · Atualizado 2025-10-27

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas privacyIDEA Authenticator versão 4.3.0

Descrição Existe uma falha no tratamento dos valores OTP/TOTP/HOTP no aplicativo privacyIDEA Authenticator para Android. Um atacante local com acesso root pode contornar a autenticação de dois fatores interceptando caminhos de descriptografia e recuperando segredos em texto claro. Isso permite ao atacante gerar senhas de uso único válidas e obter acesso a contas registradas. O ataque envolve realizar hooking nas rotinas criptográficas do aplicativo.

Recomendações Atualize para uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Correção

Information Disclosure

Insufficiently Protected Credentials

Insecure Storage of Sensitive Information

Enumeração de Fraquezas

CWE-200

CWE-522

CWE-922

Identificadores relacionados

CVE-2025-61482

Produtos afetados

Privacyidea Authenticator

Referências · 4

• https://github.com/ReversecLabs/android-keystore-audit/blob/master/frida-scripts/tracer-cipher.js · Nota
• https://svarthatt.se/cve/cve-2025-61482-pulling-otp-secrets-from-privacyidea-authenticator · Nota
• https://twitter.com/CVEnew/status/1982822364669673682 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-61482 · Nota de Segurança