Capgo giữ lại metadata EXIF trong ảnh tải lên, làm lộ dữ liệu vị trí

Capgo trước phiên bản 12.128.2 không loại bỏ EXIF metadata khỏi ảnh được tải lên qua app information endpoint, làm lộ dữ liệu vị trí địa lý nhạy cảm. Kẻ tấn công có thể tải lên những ảnh chứa EXIF metadata để trích xuất thông tin vị trí địa lý và metadata nhúng khác từ các tệp đã tải lên.

• Capgo: các phiên bản 0 đến trước 12.128.2 được xác định là bị ảnh hưởng theo kiểu phiên bản semver.
• 12.128.2 được advisory liệt kê là phiên bản đã vá và được bản ghi xác định là không bị ảnh hưởng.
• Trạng thái của các nhánh phát hành song song hoặc các phiên bản sau đó không được xác nhận riêng trong bằng chứng hiện có.

Lỗi nằm trong quá trình xử lý ảnh tại app information endpoint. Người dùng có quyền truy cập mạng và đặc quyền thấp có thể tải lên một ảnh chứa EXIF metadata. Capgo không loại bỏ metadata này trước khi lưu trữ hoặc cung cấp lại tệp, nên dữ liệu như tọa độ địa lý và các trường metadata khác vẫn có thể được trích xuất từ ảnh đã tải lên. Đây là lỗi Exposure of Sensitive Information to an Unauthorized Actor, tương ứng với CWE-200. Bản ghi không xác định thư viện xử lý ảnh, cơ chế lưu trữ tệp hoặc toàn bộ các trường EXIF bị giữ lại.

Bản ghi mô tả khả năng khai thác qua mạng với đặc quyền thấp, độ phức tạp thấp và không cần tương tác của người dùng khác. Advisory của nhà phát triển cung cấp quy trình tái hiện ở mức cao: truy cập app information endpoint, tải lên ảnh có EXIF metadata và kiểm tra metadata còn lại trong tệp. Bản ghi đánh dấu không có public exploit, đồng thời không xác nhận việc lỗ hổng đã bị khai thác trong thực tế. Điều này không chứng minh rằng không tồn tại công cụ hoặc hoạt động khai thác chưa được báo cáo.

Khai thác thành công có thể khiến dữ liệu EXIF trong các ảnh được chấp nhận qua app information endpoint bị tiết lộ, bao gồm thông tin định vị nếu ảnh có chứa dữ liệu đó. Tác động chủ yếu là mất tính bí mật ở phạm vi các tệp bị xử lý; không có bằng chứng trong bản ghi cho thấy kẻ tấn công có thể thay đổi dữ liệu hoặc gây mất tính sẵn sàng. Điều kiện truy cập được mô tả là qua mạng với đặc quyền thấp và không cần tương tác của người dùng khác. Mức độ ảnh hưởng thực tế phụ thuộc vào loại metadata được người dùng đưa vào ảnh và khả năng truy cập các tệp đã tải lên.

Lỗ hổng có thể làm lộ tọa độ địa lý, thời điểm chụp và các metadata khác mà người dùng hoặc tổ chức không dự định công khai trong ảnh tải lên. Dữ liệu này có thể tiết lộ thông tin nhạy cảm về địa điểm, hoạt động hoặc quy trình vận hành, tùy thuộc vào nội dung EXIF thực tế của từng tệp. Ảnh đã tải lên trước khi cập nhật cần được xem xét nếu hệ thống vẫn lưu giữ bản gốc có metadata. Bản ghi không cho thấy lỗ hổng này cho phép sửa đổi dữ liệu hoặc làm gián đoạn dịch vụ.

1. Nâng cấp Capgo lên 12.128.2, phiên bản được advisory liệt kê là đã vá lỗi xử lý EXIF metadata.
2. Nếu chưa thể cập nhật ngay, hạn chế app information endpoint cho các tài khoản và mạng tin cậy ở mức cần thiết, đồng thời tránh tải lên hoặc tiếp tục phân phối ảnh chứa dữ liệu nhạy cảm. Đây là biện pháp phòng ngừa, không thay thế bản vá đã xác nhận.
3. Kiểm tra các ảnh đã tải lên trước khi cập nhật và xử lý hoặc thay thế những tệp còn chứa EXIF metadata nhạy cảm theo chính sách lưu giữ dữ liệu của tổ chức.
4. Sau khi cập nhật, kiểm thử lại quy trình tải ảnh bằng tệp mẫu có EXIF metadata để xác nhận metadata không còn được giữ lại trong tệp được lưu trữ hoặc cung cấp cho người dùng.

1. Kiểm kê các triển khai Capgo và xác định phiên bản đang chạy; các phiên bản trước bản vá cần được xem xét là có nguy cơ.
2. Xác định các triển khai cho phép tài khoản đặc quyền thấp truy cập app information endpoint và tải ảnh lên.
3. Kiểm tra các bản sao ảnh đã tải lên bằng công cụ phân tích metadata được phê duyệt để xác định EXIF metadata, đặc biệt là dữ liệu vị trí, còn tồn tại hay không.
4. Rà soát nhật ký ứng dụng và hệ thống lưu trữ tệp để tìm các lượt tải ảnh lên và truy cập lại tệp liên quan đến endpoint này. Đây là biện pháp giám sát phòng ngừa, không phải indicator of compromise đã được xác nhận.
5. Việc không thấy bản ghi phù hợp không chứng minh rằng hệ thống không bị ảnh hưởng hoặc không có dữ liệu EXIF còn lưu trữ.