PT-2021-6224

CVE-2021-25444

Publicado

2021-05-25

Atualizado

2022-08-01

Descrição por

CVSS 3.1

5.5

Média

MétricasAV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Android Keystore anteriores à SMR AUG-2021 Release 1

Descrição

O problema está relacionado a uma vulnerabilidade de reutilização de IV no Keymaster, que permite a descriptografia de keyblobs personalizados por processos privilegiados. Essa vulnerabilidade está associada à validação insuficiente de entradas no sistema Android Keystore em dispositivos Samsung Galaxy. A exploração dessa vulnerabilidade pode permitir que um invasor contorne a proteção e extraia chaves privadas de um ambiente seguro.

Recomendações

Para versões anteriores ao SMR AUG-2021 Release 1, considere desativar temporariamente a função do Keymaster até que um patch esteja disponível. Restrinja o acesso ao módulo vulnerável do Keymaster para minimizar o risco de exploração. Evite usar o keyblob afetado no Keymaster até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Impactos

Pesquisadores

Alon Shakevsky

Avishai Wool

Eyal Ronen

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-330: Use of Insufficiently Random Values

CWE-20: Improper Input Validation

Identificadores relacionados

CVE-2021-25444