Plateforme
python
Composant
mobsf
Corrigé dans
4.3.1
4.3.1
La vulnérabilité CVE-2025-24805 concerne une élévation de privilèges dans Mobile Security Framework (MobSF) jusqu'à la version 4.3.0. Elle permet à un utilisateur authentifié d'obtenir un jeton API avec des privilèges complets, compromettant potentiellement la confidentialité des données. La vulnérabilité est corrigée dans la version 4.3.1 et nécessite une mise à jour ou l'application de mesures d'atténuation.
Cette vulnérabilité permet à un utilisateur authentifié de contourner les contrôles d'accès et d'obtenir un jeton API avec tous les privilèges. Cela signifie qu'un attaquant peut accéder à des informations sensibles auxquelles il ne devrait pas avoir accès, telles que le code source des applications mobiles analysées par MobSF. L'impact principal est la divulgation d'informations, mais cela pourrait également permettre à un attaquant de modifier la configuration de MobSF ou d'effectuer d'autres actions malveillantes. Bien que l'exploitation nécessite une authentification préalable, la facilité d'obtention du jeton API rend cette vulnérabilité particulièrement préoccupante.
Cette vulnérabilité a été rendue publique le 5 février 2025. Il n'y a pas d'indications d'exploitation active à ce jour, mais la simplicité de l'exploitation pourrait en faire une cible pour les attaquants. La vulnérabilité n'est pas encore répertoriée sur le KEV de CISA. Des preuves de concept publiques sont disponibles, ce qui augmente le risque d'exploitation.
Organizations using MobSF to analyze mobile applications, particularly those handling sensitive data, are at risk. Teams relying on MobSF for automated security assessments and continuous integration/continuous delivery (CI/CD) pipelines are especially vulnerable, as a compromised MobSF instance could introduce vulnerabilities into the build process.
• python / server:
grep -r 'API_TOKEN_GENERATION_ENABLED' /opt/mobsf/config.py• python / server:
journalctl -u mobsf | grep -i "API token generated"• generic web:
curl -I http://<mobsf_server>/api/v1/users/me/token
disclosure
Statut de l'Exploit
EPSS
0.21% (percentile 43%)
CISA SSVC
Vecteur CVSS
La solution recommandée est de mettre à jour MobSF vers la version 4.3.1 ou ultérieure, qui corrige cette vulnérabilité. En attendant la mise à jour, il est possible de limiter l'accès aux API et de renforcer les contrôles d'authentification. Il est également conseillé de surveiller attentivement les journaux d'accès pour détecter toute activité suspecte. Vérifiez après la mise à jour que les jetons API sont correctement gérés et que les utilisateurs n'ont que les privilèges nécessaires à leurs tâches.
Actualice MobSF a la versión 4.3.1 o superior. Esta versión corrige la vulnerabilidad de escalada de privilegios local. No existen soluciones alternativas conocidas, por lo que la actualización es la única forma de mitigar el riesgo.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2025-24805 is a vulnerability in MobSF versions up to 4.3.0 allowing registered users to obtain API tokens with all privileges, leading to information disclosure.
You are affected if you are using MobSF version 4.3.0 or earlier. Upgrade to 4.3.1 to resolve the vulnerability.
Upgrade MobSF to version 4.3.1 or later. As a temporary workaround, restrict API token generation to administrators only.
No active exploitation has been confirmed, but the ease of exploitation suggests it could become a target.
Refer to the MobSF release notes and security advisories on the official MobSF GitHub repository.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier requirements.txt et nous te dirons instantanément si tu es affecté.