Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Lỗ hổng CVE-2020-1895 là lỗ hổng Integer Overflow to Buffer Overflow ảnh hưởng tới Instagram for Android (phiên bản bị ảnh hưởng: < 128.0.0.26.128). Lỗ hổng này được xếp hạng ở mức Cao, với điểm CVSS 7.8. Hiện chưa đủ dữ liệu để xác định lỗ hổng này đã bị khai thác hay chưa.
Có thể xảy ra hiện tượng tràn heap lớn trong Instagram for Android khi cố gắng tải lên hình ảnh có kích thước được tạo đặc biệt. Điều này ảnh hưởng đến các phiên bản trước 128.0.0.26.128.
128.0.0.26.128 bị ảnh hưởng.128.0.0.26.128 được bản ghi CNA đánh dấu là không bị ảnh hưởng.CNA mô tả lỗi tràn heap lớn trong đường xử lý tải ảnh của Instagram for Android và phân loại là CWE-680, Integer Overflow to Buffer Overflow. Dữ liệu do kẻ tấn công kiểm soát là kích thước của hình ảnh, được tạo đặc biệt. Một cơ chế có khả năng xảy ra là phép tính số nguyên hoặc kiểm tra kích thước sai dẫn đến cấp phát heap không đủ hoặc ghi vượt kích thước; đây là suy luận từ lớp điểm yếu, không phải chi tiết triển khai được công bố. Đặc tính tấn công được cung cấp cho thấy khả năng truy cập cục bộ, độ phức tạp thấp, không cần quyền và cần người dùng tương tác. Bản ghi không xác định parser, phép tính, vị trí cấp phát, dữ liệu bị ghi đè hay primitive kết quả.
Đặc tính tấn công được cung cấp mô tả một đường khai thác cục bộ thay vì khả năng truy cập trực tiếp qua mạng. Không cần quyền, độ phức tạp thấp và cần người dùng tương tác, phù hợp với điều kiện tải hình ảnh trong mô tả. Bản ghi không cung cấp bằng chứng về việc khai thác đã được quan sát, mã exploit công khai hay việc sử dụng trong chiến dịch ransomware. Bản ghi cũng không xác định kênh đưa hình ảnh được tạo đặc biệt đến người dùng hoặc liệu việc khai thác có thể vượt ra ngoài tiến trình Instagram hay không.
Tác động được ghi nhận bao gồm khả năng ảnh hưởng cao đến tính bí mật, toàn vẹn và sẵn sàng trong cùng phạm vi bảo mật. Vì vậy, một sự kiện hỏng bộ nhớ thành công có thể ảnh hưởng đến việc xử lý dữ liệu hoặc tính sẵn sàng của ứng dụng Instagram, nhưng bằng chứng không chứng minh việc xâm phạm vượt ra ngoài phạm vi đó. Chỉ số cung cấp ghi nhận không cần quyền và cần người dùng tương tác; đây là các điều kiện được nêu cho việc kích hoạt, không phải bằng chứng rằng rủi ro bằng không. Bằng chứng hiện có không xác lập các kết quả cụ thể như thực thi mã, chiếm quyền tài khoản, lộ dữ liệu hoặc duy trì quyền kiểm soát trên thiết bị.
Một lần kích hoạt thành công có thể làm gián đoạn tiến trình Instagram hoặc hoạt động của ứng dụng trên thiết bị thông qua lỗi hỏng bộ nhớ. Đánh giá tác động được cung cấp ghi nhận khả năng ảnh hưởng cao đến tính bí mật, toàn vẹn và sẵn sàng, trong cùng phạm vi bảo mật. Với tổ chức, điều này có thể dẫn đến nhu cầu rà soát sự cố, khôi phục ứng dụng hoặc xử lý lại thiết bị, nhưng bằng chứng không xác lập việc chiếm quyền tài khoản, đánh cắp dữ liệu hay một vụ xâm phạm.
128.0.0.26.128, bản phát hành chính xác được bản ghi cung cấp đánh dấu là không bị ảnh hưởng.affected_summary; ưu tiên các thiết bị thấp hơn bản phát hành được ghi nhận là không bị ảnh hưởng.Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
vi
