CVE-2025-24803
Açıklama
Mobile Security Framework (MobSF); otomatikleştirilmiş, hepsi bir arada bir mobil uygulama (Android/iOS/Windows) sızma testi, kötü amaçlı yazılım analizi ve güvenlik değerlendirme çerçevesidir. Apple'ın bundle ID belgelerine göre, bu değer yalnızca alfanümerik karakterler (A–Z, a–z ve 0–9), tire (-) ve noktalar (.) içermelidir. Ancak, bir saldırgan `Info.plist` dosyasındaki bu değeri manuel olarak değiştirebilir ve `<key>CFBundleIdentifier</key>` değerine özel karakterler ekleyebilir. `dynamic_analysis.html` dosyası, Corellium'dan alınan bundle değerini temizlemediğinden, HTML bağlamını bozmak ve Stored XSS elde etmek mümkündür. Bu sorun 4.3.1 versiyonunda giderilmiştir ve tüm kullanıcıların yükseltme yapmaları önerilir. Bu zafiyet için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- mobsf4.3.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| opensecurity mobile_security_framework | 4.3.0 | — |
| mobsfPyPI | v < 4.3.1 | 4.3.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.