بيانات اعتماد وسيط MQTT المضمنة بثبات في تطبيق Attendo Admin Android 3.0.13

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي تطبيق Attendo (المعروف سابقًا بـ Petpooja Payroll) Admin Android الإصدار 3.0.13 والأقدم على ثغرة بيانات اعتماد مضمنة بثبات تسمح للمهاجمين باستخراج بيانات اعتماد وسيط MQTT للإنتاج عن طريق تفكيك أصول تكوين Flutter المجمعة لـ APK مثل production.json وملفات تكوين device-command. يمكن للمهاجمين استخدام بيانات الاعتماد المستعادة للمصادقة على وسيط MQTT للإنتاج عبر TCP 1883، والوصول إلى مواضيع الرسائل التي تحتوي على سجلات حضور الموظفين، والمعرفات الشخصية، والصور المشفرة بـ Base64، وقياسات الجهاز عن بُعد، ومواد المصادقة، ونشر الرسائل إلى تلك المواضيع، مما يؤدي إلى مكاشفة البيانات الحساسة واحتمال حقن رسائل غير مصرح بها.

المعالجة

1. أحصِ جميع نشرات Petpooja Munshi، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• تحذيرhttps://www.vulncheck.com/advisories/attendo-admin-android-hard-coded-mqtt-broker-credentials
• مرجعhttps://medium.com/@TheWildEye/from-an-android-apk-to-production-mqtt-exposed-credentials-in-attendo-formerly-petpooja-payroll-eb701d23233e
• مرجعhttps://play.google.com/store/apps/details?id=com.petpooja.attendance