将敏感信息插入到 react-native-mmkv 的日志文件中 (CVE-2024-21668)
CVE编号
CVE-2024-21668利用情况
暂无补丁情况
N/A披露时间
2024-01-10漏洞描述
react-native-mmkv是一个允许在React Native应用程序中轻松使用MMKV的库，在2.11.0版本之前，react-native-mmkv将可选的MMKV数据库加密密钥记录到Android系统日志中。如果在手机设置中启用了Android调试桥(ADB)，任何人都可以通过ADB获取该密钥。这个漏洞在iOS设备上不存在。通过将加密密钥记录到系统日志中，攻击者可以轻松地启用ADB并破坏应用程序的线程模型来轻松恢复密钥。该问题在2.11.0版本中已修复。解决建议
"将组件 react-native-mmkv 升级至 2.11.0 及以上版本"- 攻击路径 本地
- 攻击复杂度 低
- 权限要求 高
- 影响范围 未更改
- 用户交互 无
- 可用性 无
- 保密性 高
- 完整性 无
| CWE-ID | 漏洞类型 |
| CWE-532 | 通过日志文件的信息暴露 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论