assetlinks_check(act_name, well_knowns) 上的 MobSF SSRF 漏洞 (CVE-2024-29190)
CVE编号
CVE-2024-29190利用情况
暂无补丁情况
N/A披露时间
2024-03-23漏洞描述
Mobile Security Framework (MobSF)是一个渗透测试、恶意软件分析和安全评估框架，能够执行静态和动态分析。在版本3.9.5 Beta及之前的版本中，MobSF在提取`android:host`中的主机名时不执行任何输入验证，因此也可以将请求发送到本地主机名。这可能导致服务器端请求伪造漏洞。攻击者可以导致服务器连接到组织基础架构中的仅限内部使用的服务。提交5a8eeee73c5f504a6c3abdf2a139a13804efdb77中有针对此问题的热修复。解决建议
"将组件 mobsfscan 升级至 0.3.8 及以上版本"- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 无
- 影响范围 未更改
- 用户交互 无
- 可用性 无
- 保密性 高
- 完整性 无
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论