云存储应用越权会见和文件上传误差清静通告

宣布时间 2019-11-18

误差编号和级别


CVE编号：暂无，，，，，危险级别：高危，，，，，CVSS分值：官方未评定


影响规模


据统计，，，，，使用海内主流厂商云存储效劳的安卓APP数目为4148个。 。 。。。抽样检测效果显示，，，，，受此误差影响的应用比例达70%。 。 。。。


误差概述


云存储是云盘算基础上延伸和衍生生长出来的新看法，，，，，综合接纳漫衍式处置惩罚、并行处置惩罚和网格盘算等手段，，，，，将网络中差别类型的存储装备通过应用软件荟萃起来协同事情，，，，，对外提供统一的数据存储和营业会见功效。 。 。。。云存储在移动APP、网页版程序、APP小程序（以下简称云存储应用）等场景获得了普遍应用。 。 。。。用户会见云存储数据时，，，，，举行署名请求的密钥有永世密钥和暂时密钥两种方法。 。 。。。


云存储应用由于设置不当，，，，，保存越权会见和文件上传误差：使用暂时密钥举行文件上传的云存储应用，，，，，缺乏对文件（存储桶）会见或上传路径（存储桶）的权限限制，，，，，导致文件（存储桶）越权会见或文件上传误差 ；；；；；；；；使用永世密钥为文件上传请求署名的云存储应用，，，，，缺乏对永世密钥的须要� ；；；；；；；；ぃ�，，，，爆发恣意路径文件（存储桶）的越权会见和文件上传误差。 。 。。。攻击者使用上述误差，，，，，通过云存储应用破解或网络抓包获得永世密钥或暂时密钥，，，，，实现对云存储中的文件数据的窃�。 。 。。。�，，，，甚至改动用户生涯在云存储中的数据文件。 。 。。。


误差验证


暂无EXP/POC。 。 。。。


修复建议


现在官方尚未宣布误差修复补丁。 。 。。。


暂时修复建议：


建议云存储应用开发者接纳如下方法修复误差：


1、接纳暂时署名上传文件的云存储应用：凭证营业场景将效劳端天生的暂时密钥权限更新至最�。 。 。。。�，，，，限制文件的上传路径和上传的目的存储桶，，，，，去除读文件、列存储桶、列工具、笼罩文件等非营业须要权限。 。 。。。


2、接纳永世密钥署名上传文件的云存储应用：更新客户端和效劳端上传逻辑，，，，，改为用最小权限的暂时密钥方法或者PUT方法举行上传。 。 。。。


参考链接


https://www.cnvd.org.cn/webinfo/show/5291