云存储应用越权会见和文件上传误差清静通告

宣布时间 2019-11-18

误差编号和级别


CVE编号：暂无，， ，，，，危险级别：高危，， ，，，，CVSS分值：官方未评定


影响规模


据统计，， ，，，，使用海内主流厂商云存储效劳的安卓APP数目为4148个。。。抽样检测效果显示，， ，，，，受此误差影响的应用比例达70%。。。


误差概述


云存储是云盘算基础上延伸和衍生生长出来的新看法，， ，，，，综合接纳漫衍式处置惩罚、并行处置惩罚和网格盘算等手段，， ，，，，将网络中差别类型的存储装备通过应用软件荟萃起来协同事情，， ，，，，对外提供统一的数据存储和营业会见功效。。。云存储在移动APP、网页版程序、APP小程序（以下简称云存储应用）等场景获得了普遍应用。。。用户会见云存储数据时，， ，，，，举行署名请求的密钥有永世密钥和暂时密钥两种方法。。。


云存储应用由于设置不当，， ，，，，保存越权会见和文件上传误差：使用暂时密钥举行文件上传的云存储应用，， ，，，，缺乏对文件（存储桶）会见或上传路径（存储桶）的权限限制，， ，，，，导致文件（存储桶）越权会见或文件上传误差 ；；；；；使用永世密钥为文件上传请求署名的云存储应用，， ，，，，缺乏对永世密钥的须要� ；；；；；�，， ，，，，爆发恣意路径文件（存储桶）的越权会见和文件上传误差。。。攻击者使用上述误差，， ，，，，通过云存储应用破解或网络抓包获得永世密钥或暂时密钥，， ，，，，实现对云存储中的文件数据的窃取，， ，，，，甚至改动用户生涯在云存储中的数据文件。。。


误差验证


暂无EXP/POC。。。


修复建议


现在官方尚未宣布误差修复补丁。。。


暂时修复建议：


建议云存储应用开发者接纳如下方法修复误差：


1、接纳暂时署名上传文件的云存储应用：凭证营业场景将效劳端天生的暂时密钥权限更新至最小，， ，，，，限制文件的上传路径和上传的目的存储桶，， ，，，，去除读文件、列存储桶、列工具、笼罩文件等非营业须要权限。。。


2、接纳永世密钥署名上传文件的云存储应用：更新客户端和效劳端上传逻辑，， ，，，，改为用最小权限的暂时密钥方法或者PUT方法举行上传。。。


参考链接


https://www.cnvd.org.cn/webinfo/show/5291