VulDB: Apple iOS bis 6 beta 4 SMS User Data Header Handler Spoofing
Allgemein
scipID: 5976
Betroffen: Apple iOS bis 6 beta 4
Veröffentlicht: 17.08.2012 (pod2g)
Risiko: 
kritisch
Eintrag: 91.2% komplett
Erstellt: 17.08.2012
Aktualisiert: 22.08.2012
Beschreibung
Es wurde eine kritische Schwachstelle in Apple iOS bis 6 beta 4 entdeckt. Es betrifft eine unbekannte Funktion der Komponente SMS User Data Header Handler. Dank der Manipulation durch SMS kann eine Spoofing-Schwachstelle ausgenutzt werden. Dadurch lässt sich SMS Absender vortäuschen. Das hat Auswirkungen auf Vertraulichkeit und Integrität.
Die Schwachstelle wurde am 17.08.2012 durch pod2g in Form eines Blog Posts (Website) publik gemacht. Das Advisory kann von pod2g-ios.blogspot.co.uk heruntergeladen werden. Die Veröffentlichung geschah dabei ohne Koordination mit dem Hersteller. Die Schwachstelle ist relativ beliebt, und dies trotz ihrer hohen Komplexität. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es sind zwar keine technische Details, jedoch ein privater Exploit zur Schwachstelle bekannt. Diese Schwachstelle gilt aufgrund ihrer speziellen Ausprägung als historisch interessant.
Er wird als Proof-of-Concept gehandelt. Die wahre Existenz der vermeintlichen Schwachstelle wird zur Zeit in Frage gestellt.
Das Problem kann durch den Einsatz von iMessage, Google Android oder Nokia als alternatives Produkt mitigiert werden.Screenshot
CVSS
Base Score: 4.0 (CVSS2#AV:N/AC:H/Au:N/C:P/I:P/A:N) [?]
| Access Vector | Access Complexity | Authentication | Confidentiality | Integrity | Availability |
|---|---|---|---|---|---|
| Local | High | Multiple | None | None | None |
| Adjacent | Medium | Single | Partial | Partial | Partial |
| Network | Low | None | Complete | Complete | Complete |
Exploiting
Klasse: Spoofing
Auswirkungen: SMS Absender vortäuschen
Lokal: Nein
Remote: Ja
Verfügbarkeit: Ja
Zugang: Privat
Status: Proof-of-Concept
Gegenmassnahmen
Empfehlung: Alternative
0-Day Time: 0 Tage seit gefunden
Alternative: iMessage/Google Android/Nokia
Timeline
17.08.2012 | Advisory veröffentlicht
17.08.2012 | VulDB Eintrag erstellt
22.08.2012 | VulDB Eintrag aktualisiert
Quellen
Advisory: pod2g-ios.blogspot.co.uk
Person: pod2g
Infragegestellt: Ja
Diverses: zdnet.com
- Letzte Einträge
- Apple QuickTime DREF Atom Handler Pufferüberlauf [CVE-2013-1017]
- Apple QuickTime H.264 Handler Pufferüberlauf [CVE-2013-1018]
- Apple QuickTime MP3 File Handler Pufferüberlauf [CVE-2013-0989]
- Apple QuickTime Sorenson Codec Handler Pufferüberlauf [CVE-2013-1019]
- Apple QuickTime JPEG Handler Pufferüberlauf [CVE-2013-1020]
- Statistiken
- Archiv
