CVE-2019-14339

Inyección de URI de Content Provider en Canon PRINT 2.5.5 (CVE-2019-14339). Prueba de concepto por @0x48piraj

El ContentProvider en la aplicación Canon PRINT 2.5.5 para Android no restringe adecuadamente el acceso a los datos. Esto permite que una aplicación maliciosa de un atacante obtenga información sensible, incluyendo contraseñas de fábrica para la interfaz web de administrador y la clave WPA2-PSK.

Impacto

Este error puede filtrar datos de todas las impresoras compatibles con Canon PRINT 2.5.5, es decir,

• PIXMA TS Series
• TR Series, MG Series, PRO Series, MP Series, iP Series, iX Series
• MAXIFY MB Series, iB Series
• ImagePROGRAF PRO Series, TM Series
• SELPHY CP900 Series, CP1200, CP1300

Descargas de la aplicación: 1,00,00,000 +

Cobertura

• MITRE
• National Vulnerability Database
• exploit-db
• Packet Storm Security
• offensive-security/exploitdb
• CX Security
• Vulners
• exploit-database.net
• Hackernews Blog
• security-db
• media.cert.europa.eu
• cnnvd.org.cn

El error

La aplicación móvil contiene proveedores de contenido exportados sin protección ('IJPrinterCapabilityProvider' en android/AndroidManifest.xml) que divulgan datos sensibles de la aplicación bajo ciertas condiciones.

Para exportar de forma segura el proveedor de contenido, se debe restringir el acceso configurando los atributos android:protectionLevel o android:grantUriPermissions en el archivo Android Manifest.

¿Qué necesitas?

• Aplicación Canon PRINT 2.5.5 (última versión) instalada en Android.
• Una impresora Canon compatible con la aplicación.

¿Cómo ejecutarlo?

Hay dos formas de probar esta vulnerabilidad.

• Mediante ADB
• A través de una aplicación maliciosa de Android

Mediante ADB

Configura ADB, clona el repositorio, ve a /poc-scripts y ejecuta leak.py

git clone https://github.com/0x48piraj/CVE-2019-14339
cd CVE-2019-14339/poc-scripts
python leak.py

A través de una aplicación maliciosa de Android

Método #1

Clona el repositorio, compila el código fuente.

Método #2

Usa la aplicación precompilada yendo a /release y descargando cannon-pwn.apk o a través de releases

NOTA: Deshabilita Play Protect o aparecerá el error "App Not Installed". (Dentro de Google Play) > Menú > Play Protect > Escanear dispositivo en busca de amenazas de seguridad (deshabilitar).

Demostración

Demostración del script de fuga

Aplicación maliciosa de Android

Problemas (?)

Los problemas se han deshabilitado en este repositorio. Es una simple prueba de concepto que quería compartir con la comunidad.

Referencias

• Mapeo de estándares - Common Weakness Enumeration CWE ID 89
• Mapeo de estándares - DISA Control Correlation Identifier Version 2 CCI-002754
• Mapeo de estándares - FIPS200 SI
• Mapeo de estándares - Reglamento General de Protección de Datos (GDPR) Acceso indirecto a datos sensibles
• Mapeo de estándares - NIST Special Publication 800-53 Revisión 4 SI-10 Validación de entrada de información (P1)
• Mapeo de estándares - OWASP Mobile 2014 M7 Inyección del lado del cliente
• Mapeo de estándares - OWASP Top 10 2017 A1 Fallos de inyección
• Mapeo de estándares - SANS Top 25 2011 Interacción insegura - CWE ID 089
• Mapeo de estándares - Web Application Security Consortium Versión 2.00 Inyección SQL (WASC-19)