Aplikacja Setracker2 na system Android generuje identyfikatory rejestracyjne w sposób przewidywalny, bazując na numerze IMEI urządzenia. Pozwala to atakującemu na nieautoryzowane przypisanie sobie zegarków należących do innych użytkowników.
▸ Pokaż oryginał (EN)
Setracker2 Android Companion App com.tgelec.setracker versions 3.1.5 and prior have a predictable registration ID derived from IMEI. The enrollment system lacks additional authentication before assignment. If an attacker is able to obtain the registration ID, they would be able to arbitrarily enroll watches belonging to other users.
Identyfikator rejestracyjny (registration ID) używany w procesie rejestracji urządzenia jest wyprowadzany bezpośrednio z numeru IMEI, co czyni go przewidywalnym (CWE-340 — generowanie przewidywalnych liczb lub identyfikatorów). System rejestracji nie wymaga żadnego dodatkowego uwierzytelnienia przed przypisaniem urządzenia do konta. Jeśli atakujący zdobędzie lub odgadnie taki identyfikator, może samodzielnie zarejestrować zegarek innego użytkownika we własnym koncie.
Atakujący może przejąć kontrolę nad zegarkiem należącym do innego użytkownika poprzez nieautoryzowane przypisanie urządzenia do własnego konta, uzyskując dostęp do danych lokalizacyjnych i innych informacji powiązanych z tym urządzeniem.
Należy zaktualizować aplikację Setracker2 do wersji nowszej niż 3.1.5. Producent powinien wprowadzić dodatkowe mechanizmy uwierzytelnienia w procesie rejestracji urządzenia oraz zastąpić przewidywalny identyfikator kryptograficznie losowym. Szczegółowe informacje dostępne w referencjach producenta.
Aplikacja Setracker2 na system Android (com.tgelec.setracker) w wersjach 3.1.5 i wcześniejszych.
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X