Vulnerabilidad en Element Android (CVE-2024-26132)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-200 Revelación de información

Fecha de publicación:

29/02/2024

Última modificación:

14/02/2025

Descripción

Element Android es un cliente Matrix de Android. Una aplicación maliciosa de terceros instalada en el mismo teléfono puede obligar a Element Android, versión 0.91.0 a 1.6.12, a compartir archivos almacenados en el directorio "archivos" en el directorio de datos privados de la aplicación en una sala arbitraria. El impacto del ataque se reduce por el hecho de que las bases de datos almacenadas en esta carpeta están cifradas. Sin embargo, contiene otra información potencialmente confidencial, como el token FCM. Las bifurcaciones de Element Android que han configurado `android:exported="false"` en el archivo `AndroidManifest.xml` para la actividad `IncomingShareActivity` no se ven afectadas. Este problema se solucionó en Element Android 1.6.12. No se conoce ningún workaround para mitigar el problema.

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 4.00 MEDIA
Vector: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno