Alle neu veröffentlichten Sicherheitslücken (CVE), laufend aus der NVD, mit aktiv ausgenutzten Lücken der CISA, der Ausnutzungswahrscheinlichkeit (EPSS) und öffentlichen Exploits – jede einzeln recherchiert: Was ist betroffen, was hilft, was ist zu tun.
Die Komponente io.file.importer.ImportActivity von OpenTracks versionCode 6751 verfügt über unsichere Berechtigungen. Ein Angreifer kann über eine manipulierte SEND-Nachricht manipulierte Tracking-Daten in die Standortdatenbank der App einschleusen. Der CVE-Eintrag nennt CVSS 9.1, die Bewertung und der Angriffsvektor sind jedoch durch keine andere Quelle bestätigt, und der Advisory-Text konnte nicht direkt gelesen werden.
neutriNote CE für Android, versionCode 1387, weist unsichere Berechtigungen in der Autosave-Komponente auf. Laut dem verlinkten Drittanbieter-Advisory könnte eine App ohne Berechtigungen eine exportierte Activity starten und die App dazu bringen, vom Angreifer gewählten Inhalt in eine für die App zugängliche Datei-URI zu schreiben. Der CVE-Eintrag besagt, dass nicht autorisierte Angreifer beliebige Dateien schreiben können, doch die Voraussetzungen und der tatsächliche Angriffspfad sind nicht bestätigt. Der im Advisory angegebene CVSS-Angriffsvektor (Netzwerk) ist umstritten, und die Quellen zeigen nicht, dass die Schwachstelle aus der Ferne erreichbar ist.
Librera Reader für Android (versionCode 7222) exportiert eine Activity, die andere Apps ohne jegliche Berechtigung aufrufen können. Eine aufrufende App kann einen präparierten Dateinamen übergeben, mit dem der Reader Dateien im gemeinsamen Speicher ausserhalb seiner Sandbox schreibt und kürzt. Es ist keine Benutzerinteraktion nötig, und laut Advisory setzt das Schreiben ausserhalb des Download-Ordners zusätzlich voraus, dass der Opfer-App der Vollzugriff auf Dateien (All files access) gewährt wurde.
Die AIDL-Schnittstelle des Android-Zusatzmoduls MAXS Module FileRead (versionCode 27) weist unsichere Berechtigungen auf. Ein nicht autorisierter Angreifer kann über einen absoluten Pfad beliebige Dateien ausserhalb der App-Sandbox lesen. Der CVSS-3.1-Basiswert 7.5 stammt von NVD; VulDB bewertet die Lücke mit 5.3 und beschränkt die Auswirkung auf die Vertraulichkeit, der erforderliche Zugriffsweg ist unklar.
AndFHEM 2.4.1, ein Android-Client für den FHEM-Heimautomationsserver, exportiert zwei Komponenten ohne Berechtigungsprüfung. Jede auf demselben Gerät installierte App kann Befehle an den konfigurierten FHEM-Server senden, und zwar mit den gespeicherten Zugangsdaten des Benutzers. Der Angriff erfordert keine Benutzerinteraktion, setzt jedoch voraus, dass das Opfer einen FHEM-Server konfiguriert hat.
RetroArch für Android (com.retroarch) Version 1.22.2 exportiert eine Activity, die von einer anderen App einen Dateipfad entgegennimmt und die Datei als native Bibliothek lädt. Eine lokal installierte App ohne jegliche Berechtigungen kann RetroArch daher dazu bringen, vom Angreifer bereitgestellten Code zu kopieren und zu laden, der mit der UID und den Rechten von RetroArch ausgeführt wird. Der offizielle CVE-Eintrag bewertet die Ausnutzung als mit einem Proof of Concept möglich und automatisierbar, die NVD-Analyse ist jedoch noch ausstehend und der CVSS-Wert 9.8 ist von der NVD noch nicht bestätigt.
Ein Problem in Forkyz, einer inoffiziellen Kreuzworträtsel-App für Android, Version 8500000 (Version 85), erlaubt einem Angreifer, die Speichereinstellungen eines anderen Benutzers über einen speziell erstellten URI-String zu ändern. Die Voraussetzungen für die Ausnutzung sind nicht vollständig bestätigt, und unklar ist, wessen Speicher betroffen ist. Der NVD-Score von 7.5 ist nicht verifiziert und widerspricht dem VulDB-Score von 3.5 (Niedrig).
Motion UI für Android (app.motionui.android), versionCode 101, stellt eine Activity ohne Berechtigungsprüfung anderen Apps auf demselben Gerät zur Verfügung. Eine lokal installierte App kann diese dazu bringen, eine vom Angreifer gewählte URL in einer WebView zu laden; dabei werden die gespeicherten Benutzernamen und Passwörter des Opfers in die Seite eingefügt und automatisch übermittelt. Der Angreifer kann so die Zugangsdaten empfangen und Skripte innerhalb der WebView ausführen. Die NVD-Beschreibung spricht stattdessen von Remote Code Execution über einen manipulierten POST-Request; das Primärадvisory bestätigt dies nicht, daher ist die CVSS-Bewertung 9.8 der NVD mit Vorsicht zu betrachten.
GPSLogger Version 137 für Android weist unsichere Berechtigungen auf, die es nicht autorisierten Angreifern erlauben, den Logging-Mechanismus der App und die protokollierten Daten zu manipulieren. Laut dem Advisory eines Drittanbieters kann jede App ohne Berechtigungen eine exportierte Activity starten, worauf GPSLogger ein Profil von einer vom Angreifer gewählten URL herunterlädt und aktiviert. Dadurch kann das Ziel der Hochladevorgänge umgeleitet werden. Das Opfer muss der App bereits den Standortzugriff erlaubt haben. Der CVSS-Vektor setzt einen Netzwerkzugriff voraus, während VulDB lokalen Zugriff angibt; der tatsächliche Angriffspfad muss daher überprüft werden.
Citrine, eine Nostr-Relay-App für Android, stellt ihre Nostr-Ereignisdatenbank über einen Content Provider bereit, dessen Leseberechtigung nur auf normaler Schutzstufe steht. Jede App auf demselben Gerät, die diese Berechtigung besitzt, kann die gespeicherten Ereignisse lesen, einschliesslich Direktnachrichten und an den Benutzer adressierte Gift-Wrap-Ereignisse, indem sie einen öffentlichen Schlüssel als nicht authentifizierten URI-Parameter übergibt. Der NVD-Eintrag nennt CVSS 9.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N), andere Quellen stufen die Bewertung tiefer ein und bestreiten den Angriffsvektor Netzwerk, daher hängt das reale Risiko davon ab, ob andere Apps auf dem Gerät den Provider erreichen können.
MAXS Main, eine Android-App für die Fernsteuerung über XMPP, weist in Version 0.5.19 unsichere Berechtigungen in seinem Befehls- und Transportmechanismus auf. Gemäss CVE-Beschreibung kann ein nicht autorisierter Angreifer diesen Mechanismus manipulieren. Die öffentlichen Beschreibungen erläutern nicht, wie ein Angreifer die App über das Netzwerk erreicht, daher sind die genauen Bedingungen unklar. Eine Korrektur, eine Ausnutzung oder ein öffentlicher Exploit ist nicht bekannt, und der Score von 7.5 ist nicht bestätigt.
CodeCatcher Version 131 für Android exportiert eine Activity ohne Berechtigungsschutz. Jede installierte App ohne Laufzeitberechtigungen kann ihr die DEBUG-Aktion senden, wodurch eine im Auslieferungszustand deaktivierte Debug-Komponente dauerhaft aktiviert wird. Der Angreifer kann danach die interne Debug-Oberfläche öffnen, die die Logs der App anzeigt, einschliesslich der Logs des SMS-Code-Erfassungsdienstes. Eine Benutzerinteraktion ist nicht erforderlich.
In der lmadmin-Weboberfläche von FlexNet Publisher, einer Lizenzverwaltungssoftware für Lizenzserver, besteht eine Remote Code Execution-Schwachstelle. Ein Angreifer mit hohen Privilegien auf der lmadmin-Oberfläche kann Code auf dem Server ausführen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der CVSS-Vektor setzt keine Benutzerinteraktion voraus, der Angreifer benötigt jedoch administrativen Zugriff auf die Oberfläche, weshalb die Erreichbarkeit der Weboberfläche das praktische Risiko bestimmt.
Eine Use-after-free-Schwachstelle (CWE-416) in Microsoft Edge (Chromium-based) ermöglicht einem nicht autorisierten Angreifer laut CNA-Eintrag eine Rechteausweitung über das Netzwerk. Der Angriff erfordert eine Benutzerinteraktion, zum Beispiel das Öffnen einer manipulierten Webseite. Der CVSS-3.1-Basiswert ist 8.8 (hoch), und die Analyse durch NVD ist noch ausstehend.
Ein heap-basierter Pufferüberlauf (CWE-122) in Microsoft Edge (Chromium-based) erlaubt einem entfernten Angreifer ohne Berechtigungen, Code auszuführen. Das Opfer muss eine Aktion ausführen, etwa eine manipulierte oder kompromittierte Webseite aufrufen. Der CVSS-Basiswert beträgt 8.8 (hoch), die korrigierte Version ist jedoch noch nicht bestätigt.
Ein Heap-basierter Pufferüberlauf (CWE-122) in Microsoft Edge (Chromium-basiert) ermöglicht einem nicht authentifizierten Angreifer aus dem Netzwerk, Code auszuführen. Der CVSS-Basiswert beträgt 8.8 (hoch). Für die Ausnutzung muss ein Benutzer dazu gebracht werden, zu interagieren, etwa indem er eine manipulierte Webseite öffnet. Die CISA-SSVC-Bewertung lautet Exploitation: none und Automatable: no.
Microsoft Edge (Chromium-based) enthält eine Umgehung einer Sicherheitsfunktion, die auf eine unvollständige Liste unzulässiger Eingaben (CWE-184) zurückzuführen ist. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann eine Sicherheitsfunktion des Browsers umgehen. Voraussetzung ist, dass ein Benutzer eine bösartige oder präparierte Webseite aufruft. Microsoft stuft die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch ein.
Eine Use-after-free-Schwachstelle (CWE-416) in Microsoft Edge erlaubt einem nicht autorisierten Angreifer, über ein Netzwerk Code auszuführen. Die Beschreibung verweist zusätzlich auf Edge für iOS, während als betroffene Produkte das Chromium-basierte Edge aufgeführt ist. Der CNA bewertet das Problem mit CVSS 3.1 8.8 und hoher Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit, und für die Ausnutzung muss ein Benutzer eine bösartige Seite besuchen oder eine ähnliche Aktion ausführen, benötigt aber keine Berechtigungen. VulDB bewertet das Problem tiefer (6.3), weshalb die Schweregrad-Einstufung zwischen den Quellen uneinheitlich ist.
Eine Type-Confusion-Schwachstelle (CWE-843) in Microsoft Edge (Chromium-based) erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Informationen offenzulegen. Es ist eine Benutzerinteraktion erforderlich, daher muss das Opfer manipulierte Webinhalte öffnen, etwa über einen Link in einer E-Mail oder Nachricht. Nur die Vertraulichkeit ist betroffen, mit hoher Auswirkung, und da der Scope verändert ist, kann sich die Wirkung über den Browser hinaus erstrecken.
IBM Langflow OSS 1.0.0 bis 1.12.8, ein Open-Source-Werkzeug zum Erstellen von KI-Agenten und Workflows, enthält eine Schwachstelle durch unzureichende Authentifizierung (CWE-287). Gemäss IBM kann ein entfernter Angreifer ohne Zugangsdaten Sicherheitsbeschränkungen umgehen. IBM fasst diese Schwachstelle mit weiteren Langflow-Schwachstellen zusammen, darunter Remote Code Execution, und es wird ein öffentliches Metasploit-Modul gemeldet.
Szafir und Szafir Weryfikująca, polnische Anwendungen für elektronische Signaturen von der Krajowa Izba Rozliczeniowa, verarbeiten externe Entitäten in XML-Dateien. Wenn ein Benutzer eine präparierte XML-Datei mit einer externen DTD-Referenz signiert oder verifiziert, kann ein Angreifer beliebige Dateien im System des Opfers lesen. Die Ausnutzung erfordert, dass das Opfer die Datei öffnet, etwa eine per E-Mail oder Download erhaltene, und es ist kein Netzwerkdienst exponiert.
