Vulnerability Detail Report
Vulnerability Overview
- ZDID: ZD-2019-01041
- Vendor: 馥鴻科技股份有限公司
- Title: VacronViewer App 回傳機敏資料
- Introduction: 該 Android App 會回傳帳密、IP位址等可以窺看、調整監視器之資訊
處理狀態
目前狀態
公開
Last Update : 2019/11/09
-
新提交
-
已審核
-
已通報
-
未回報修補狀況
-
未複測
-
公開
處理歷程
- 2019/09/09 01:27:43 : 新提交 (由 ggsnipe 更新此狀態)
- 2019/09/09 02:01:30 : 新提交 (由 ggsnipe 更新此狀態)
- 2019/09/09 23:04:36 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2019/09/18 14:15:59 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2019/09/18 14:15:59 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2019/09/18 14:15:59 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2019/11/09 03:00:03 : 公開 (由 HITCON ZeroDay 平台自動更新)
詳細資料
- ZDID:ZD-2019-01041
- 通報者:ggsnipe (ggsnipe)
- 風險:中
- 類型:資訊洩漏 (Information Leakage)
參考資料
暫無資料
(本欄位資訊由系統根據漏洞類別自動產生,做為漏洞參考資料。)
相關網址
https://play.google.com/store/apps/details?id=com.fuho.vacronviewer&hl=zh_TW
敘述
前言
此研究為 Android 手機的 VacronViewer App,在商店上顯示下載次數超過十萬,在第一次使用 App 時沒有通知用戶其會蒐集隱私相關資料。
調查
首先當然是抽出 APK 檔,使用 dex2jar
將 apk
轉成 jar
檔。
再使用 jd-gui
去看原始碼,不過有一些地方仍沒被解析成功,仍然顯示 bytecode。
App 開啟時就偷傳 IMEI
我們首先可以看到 VacronViewerActivity.class
這個檔案,寫著 onStart()
做的事情。
在使用者每次打開 App,都會先去檢查 IP 位址,並且回傳 IMEI 碼,這邊是不太清楚為何要先檢查再回傳。不過回傳也很奇怪,一般來說這是用來給廣告商識別手機使用者,精準投放廣告用的,可是這款 App 並沒有廣告。
透過 Packet Capture
這 App 可以攔截封包,清楚看到手機的 IMEI 碼被回傳,奇怪的是這邊寫的名稱是 MAC
,但實際上的確為 IMEI。
儲存設備列表便回傳帳密
這款 App 是用來向家中、公司的監視器進行連線,照理說可以不用透過開發商,實際上也不需要。
但為何會回傳帳密呢?這點實在令人匪夷所思
下面是 uploadDeviceListDataThread.class
的程式碼
包含了:
- 該筆設備名稱
- IP 位址
- Port number
- Device type
- 帳號
- 密碼
- 設備通道
擷圖
留言討論
登入後留言
聯絡組織
發送私人訊息
您也可以透過私人訊息的方式與組織聯繫,討論有關於這個漏洞的相關資訊。