CVE-2025-68708
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Aplikacja SailingLab AppLock dla Androida w wersji 4.3.8 implementuje blokadę PIN jako nakładkę, a nie za pomocą bezpiecznych interfejsów API Androida. Lokalny atakujący z fizycznym dostępem do urządzenia może ominąć ekran blokady, nawigując po kaskadowych interfejsach lub wykorzystując intencje reklamowe/przeglądarki, uzyskując dostęp do chronionych aplikacji, takich jak Chrome.
Ocena ryzyka
Ryzyko polega na ujawnieniu poufnych danych i eskalacji uprawnień, ponieważ atakujący może uzyskać dostęp do chronionych aplikacji i danych bez znajomości PIN-u.
Rekomendacja
Zaleca się natychmiastową aktualizację aplikacji do wersji, która wykorzystuje bezpieczne mechanizmy uwierzytelniania Androida, lub zastąpienie jej alternatywnym rozwiązaniem.
Oryginalny opis (angielski, źródło NVD)
SailingLab AppLock (aka com.alpha.applock) 4.3.8 for Android allows a local attacker with physical access to bypass the PIN lock. The lock is implemented as an overlay rather than by using Android's secure authentication APIs. By navigating cascading interface flows - insecure navigation through exposed routes facilitates app control evasion {I.N.T.E.R.F.A.C.E] via advertisement or browser intents - an attacker can evade lockscreen verification and access protected apps (e.g., Chrome). This results in information disclosure and privilege escalation.