云存储应用越权会见和文件上传误差清静通告

宣布时间 2019-11-18

误差编号和级别


CVE编号：暂无，，，，危险级别：高危，，，，CVSS分值：官方未评定


影响规模


据统计，，，，使用海内主流厂商云存储效劳的安卓APP数目为4148个。。。。。。抽样检测效果显示，，，，受此误差影响的应用比例达70%。。。。。。


误差概述


云存储是云盘算基础上延伸和衍生生长出来的新看法，，，，综合接纳漫衍式处置惩罚、并行处置惩罚和网格盘算等手段，，，，将网络中差别类型的存储装备通过应用软件荟萃起来协同事情，，，，对外提供统一的数据存储和营业会见功效。。。。。。云存储在移动APP、网页版程序、APP小程序（以下简称云存储应用）等场景获得了普遍应用。。。。。。用户会见云存储数据时，，，，举行署名请求的密钥有永世密钥和暂时密钥两种方法。。。。。。


云存储应用由于设置不当，，，，保存越权会见和文件上传误差：使用暂时密钥举行文件上传的云存储应用，，，，缺乏对文件（存储桶）会见或上传路径（存储桶）的权限限制，，，，导致文件（存储桶）越权会见或文件上传误差；；使用永世密钥为文件上传请求署名的云存储应用，，，，缺乏对永世密钥的须要�；；�，，，，爆发恣意路径文件（存储桶）的越权会见和文件上传误差。。。。。。攻击者使用上述误差，，，，通过云存储应用破解或网络抓包获得永世密钥或暂时密钥，，，，实现对云存储中的文件数据的窃取，，，，甚至改动用户生涯在云存储中的数据文件。。。。。。


误差验证


暂无EXP/POC。。。。。。


修复建议


现在官方尚未宣布误差修复补丁。。。。。。


暂时修复建议：


建议云存储应用开发者接纳如下方法修复误差：


1、接纳暂时署名上传文件的云存储应用：凭证营业场景将效劳端天生的暂时密钥权限更新至最小，，，，限制文件的上传路径和上传的目的存储桶，，，，去除读文件、列存储桶、列工具、笼罩文件等非营业须要权限。。。。。。


2、接纳永世密钥署名上传文件的云存储应用：更新客户端和效劳端上传逻辑，，，，改为用最小权限的暂时密钥方法或者PUT方法举行上传。。。。。。


参考链接


https://www.cnvd.org.cn/webinfo/show/5291