Vulnerabilidad en los métodos de la clase Log en Apache Cordova Android (CVE-2016-6799)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-532 Exposición de información a través de archivos de log

Fecha de publicación:

09/05/2017

Última modificación:

20/04/2025

Descripción

Producto: Apache Cordova Android versiones 5.2.2 y anteriores. La aplicación llama a los métodos de la clase Log. Los mensajes pasados hacia estos métodos (Log.v(), Log.d(), Log.i(), Log.w(), y Log.e()) son almacenados en una serie de búferes circulares en el dispositivo. Por defecto, se guardan un máximo de cuatro registros rotatorios de 16 KB además del registro actual. Los datos registrados pueden ser leídos con Logcat en el dispositivo. Cuando se usan plataformas anteriores a Android versión 4.1 (Jelly Bean), los datos de registro no son procesados por un sandbox por aplicación; cualquier aplicación instalada en el dispositivo tiene la capacidad de leer los datos registrados mediante otras aplicaciones.

Impacto

Vector 3.x

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

7.50

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:L/Au:N/C:P/I:N/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 5.00 MEDIA
Vector: AV:N/AC:L/Au:N/C:P/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno