GPSLogger: Unsichere Berechtigungen erlauben Manipulation der Logging-Konfiguration
GPSLogger Version 137 für Android weist unsichere Berechtigungen auf, die es nicht autorisierten Angreifern erlauben, den Logging-Mechanismus der App und die protokollierten Daten zu manipulieren. Laut dem Advisory eines Drittanbieters kann jede App ohne Berechtigungen eine exportierte Activity starten, worauf GPSLogger ein Profil von einer vom Angreifer gewählten URL herunterlädt und aktiviert. Dadurch kann das Ziel der Hochladevorgänge umgeleitet werden. Das Opfer muss der App bereits den Standortzugriff erlaubt haben. Der CVSS-Vektor setzt einen Netzwerkzugriff voraus, während VulDB lokalen Zugriff angibt; der tatsächliche Angriffspfad muss daher überprüft werden.
mendhak · GPSLogger
