臺灣大哥大購物 App MITM 、資料加密問題且疑似有 sqlite 注入 - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2016-00306
  • Vendor: myfone購物
  • Title: 臺灣大哥大購物 App MITM 、資料加密問題且疑似有 sqlite 注入
  • Introduction: Vulnerable to MITM, using fixed IV, key to encrypt sensitive data and seems vulnerable to SQL injection in sqlite database

處理狀態

目前狀態

公開
Last Update : 2017/05/13
  • 新提交
  • 已審核
  • 已通報
  • 已修補
  • 已複測
  • 公開

處理歷程

  • 2016/11/14 13:05:01 : 新提交 (由 Inndy 更新此狀態)
  • 2016/11/14 13:05:03 : 新提交 (由 HITCON ZeroDay 平台自動更新)
  • 2016/11/14 15:10:52 : 審核完成 (由 HITCON ZeroDay 平台自動更新)
  • 2016/11/21 14:25:16 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2016/11/21 14:25:20 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2016/11/24 16:46:07 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2016/11/24 16:46:07 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2017/01/20 00:02:30 : 已修補 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2017/02/22 09:27:52 : 未修補完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2017/02/22 09:46:32 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2017/03/03 15:14:30 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2017/04/14 13:06:59 : 已修補 (由 HITCON ZeroDay 平台自動更新)
  • 2017/05/09 16:39:33 : 確認已修補 (由 HITCON ZeroDay 平台自動更新)
  • 2017/05/13 03:00:10 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

  • ZDID：ZD-2016-00306
  • 通報者：Inndy (Inndy)
  • 風險：高
  • 類型：其他 (Other)

參考資料

暫無資料
(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

相關網址

https://play.google.com/store/apps/details?id=com.twm.pt.eccart&hl=zh_TW
https://itunes.apple.com/tw/app/myfone-gou-wu/id491293777?l=zh&mt=8

敘述

  1. iOS 與 Android 均有 MITM 問題
  2. 信用卡資料雖有 AES-256-CBC 加密，但是使用固定 IV 及 Key
  3. sqlite 資料庫注入

擷圖

留言討論

;