Podatności Xtool AnyScan

Mechanizm aktualizacji w aplikacji Xtooltech Xtool AnyScan na Androida w wersji 4.40.40 i wcześniejszych jest niezabezpieczony. Aplikacja pobiera i rozpakowuje pakiety aktualizacji zawierające kod wykonywalny bez weryfikacji kryptograficznej integralności i autentyczności, co pozwala atakującemu kontrolującemu metadane aktualizacji dostarczyć złośliwy pakiet, który zostanie zaakceptowany, rozpakowany i wykonany, prowadząc do wykonania dowolnego kodu.

Aplikacja Xtooltech Xtool AnyScan na Androida w wersji 4.40.40 i wcześniejszych używa zaszytego na stałe klucza kryptograficznego i IV do odszyfrowywania metadanych aktualizacji. Klucz jest przechowywany jako statyczna wartość w kodzie aplikacji. Atakujący mogący przechwycić ruch sieciowy może użyć tego klucza do odszyfrowania, modyfikacji i ponownego zaszyfrowania manifestu aktualizacji, kierując aplikację do pobrania złośliwego pakietu.

Aplikacja Xtooltech Xtool AnyScan na Androida w wersji 4.40.40 i wcześniejszych nieprawidłowo waliduje certyfikat TLS serwera aktualizacji. Atakujący w tej samej sieci może przeprowadzić atak man-in-the-middle, przechwycić, odszyfrować i zmodyfikować ruch między aplikacją a serwerem aktualizacji, co stanowi podstawę do dalszych ataków, w tym zdalnego wykonania kodu.