IDE Xcode Server in Apple Xcode before 7.0 does not ensure that server traffic is encrypted, which allows remote attackers to obtain sensiti

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• apple xcodeдо 6.4 включительно

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2004-2687distcc 2.x, as used in XCode 1.5 and others, when not configured to restrict access to the server port, allows remote attackers to execute a
  63На этой неделе
• CVE-2015-7082Multiple unspecified vulnerabilities in Git before 2.5.4, as used in Apple Xcode before 7.2, have unknown impact and attack vectors.
  41В плане
• CVE-2018-4164An issue was discovered in certain Apple products.
  40В плане
• CVE-2019-8724Multiple issues in ld64 in the Xcode toolchains were addressed by updating to version ld64-507.4.
  36Наблюдать
• CVE-2019-8723Multiple issues in ld64 in the Xcode toolchains were addressed by updating to version ld64-507.4.
  36Наблюдать
• CVE-2019-8722Multiple issues in ld64 in the Xcode toolchains were addressed by updating to version ld64-507.4.
  36Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.