CVE-2023-48417

Brak sprawdzania uprawnień w aplikacji KeyChainActivity na urządzeniach Google Chromecast

CVSS 9.8v3.1pub. 2023-12-11upd. 2024-11-21

Podatność w aplikacji KeyChainActivity na urządzeniach Google Chromecast umożliwia nieupoważniony dostęp oraz manipulację danymi bez weryfikacji uprawnień. Luka otrzymała ocenę CVSS 9.8 (CRITICAL), co czyni ją poważnym zagrożeniem dla bezpieczeństwa urządzeń.

▸ Pokaż oryginał (EN)

Missing Permission checks resulting in unauthorized access and Manipulation in KeyChainActivity Application

🤖 Analiza AI

Jak działa

Podatność wynika z braku wymaganych sprawdzeń uprawnień (CWE-862 – Missing Authorization) w aplikacji KeyChainActivity. Atakujący zdalny, nieuwierzytelniony użytkownik może wysłać odpowiednio spreparowane żądanie do podatnej aplikacji, omijając mechanizmy kontroli dostępu. W rezultacie możliwy jest nieautoryzowany odczyt, modyfikacja lub zniszczenie danych obsługiwanych przez KeyChainActivity.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do wrażliwych danych zarządzanych przez aplikację KeyChainActivity oraz je modyfikować, co zagraża poufności, integralności i dostępności systemu. Wektor sieciowy bez wymogu uwierzytelnienia sprawia, że atak może być przeprowadzony zdalnie i bez interakcji użytkownika.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — biuletyn bezpieczeństwa Google dla Chromecast z dnia 2023-12-01 (https://source.android.com/docs/security/bulletin/chromecast/2023-12-01). Zalecane jest jak najszybsze zaktualizowanie oprogramowania układowego urządzeń Chromecast.

Kogo dotyczy

Urządzenia Google Chromecast z oprogramowaniem układowym (firmware) — wersje wskazane w referencjach producenta (biuletyn bezpieczeństwa Chromecast z grudnia 2023).