OYO File Manager & WiFi File Transfer: Múltiples 0days

Últimamente estamos publicado diversas noticias sobre fallos que aparecen en aplicaciones de la AppStore. Además, estas vulnerabilidades que se muestran suelen ser 0days ya que afectan a las últimas versiones de estos aplicativos que se encuentran en la AppStore. Hace unas semanas hablábamos de un 0day en la app de Grindr 2.1.1 con la que un usuario podia bypassear la autenticación de otro. La semana antes vimos un 0day en Photo Manager Pro 4.4 el cual permitía la ejecución de código arbitrario. Y cerrando el círculo de este último mes, comentamos un Local File Inclusion en PhotoWebsite 3.1.

Hoy hablamos de OYO File Manager en su versión 1.1, la cual presenta diversas vulnerabilidades que un atacante podría aprovechar, por ejemplo, para ejecutar comandos. La primera vulnerabilidad que se detalla en el documento publicado por Vulnerability Lab es la de un Local File Inclusion. La vulnerabilidad se encuentra en el valor filename del módulo de upload y permite acceder al contenido de otros archivos. El CVSS que se ha otorgado a esta vulnerabilidades es de 6.5. 

Figura 1: Local File Inclusion en OYO File Manager 1.1 para iOS

La segunda vulnerabilidad que se detalla en el documento publicado corresponde con un Command Injection. Hace poco en Seguridad Apple tratamos algún ejemplo de aprovechamiento de un Command Injection a través del gestor de correo nativo de iOS denominado Mail. El Command Injection ha sido detectado en el parámetro devicename en el módulo index. Un atacante podría inyectar su propio código malicioso y ejecutar comandos. Lo que resta, y mucho, valor al CVSS es que para llevar a cabo el ataque se tiene que tener acceso físico al dispositivo. El CVSS ha sido determinado en 5.6.

Figura 2: Command Injection en OYO File Manager 1.1 para iOS

La tercera vulnerabilidad que se detalla en el documento es un Remote Path Traversal. Esta vulnerabilidad cuenta con un CVSS de 6.9. Parece que estamos en un mes en el que las vulnerabilidades en apps están a la orden del día, seguiremos atentos a próximas publicaciones.