Zen

Translation

English type: Plain text
Successful exploitation of this would require either a) the attacker was able to get the target to add a malicious repo, or b) the attacker was able to get the repo signing keys and then break into an existing repo's server and replace the index files. For example, a malicious actor could try to exploit someone via Nearby app swapping, so only get apps from people you trust. The way that the client is set up to parse the XML was vulnerable, and would allow a successful attacker to read files that the F-Droid app can read
658/5280 · 528

Sign in to save the translation.

English German Actions
The application's XML parser implementation might be vulnerable to XML External Entity (XXE) attacks.
Die XML-Parser-Einbindung der Anwendung ist u. U. bei Attacken von XML External Entity (XXE) angreifbar.
Impact
Auswirkung
If the XML parser has no restrictions for external and internal entities, then this might lead to arbitrary file disclosures or server-side request forgery (SSRF) vulnerabilities when XML input is parsed.
Wenn der XML-Parser keine Einschränkungen hinsichtlich externer und interner Datensätze besitzt, dann kann dies bei der Analyse der XML-Eingabe zu willkürlicher Offenlegung von Dateien oder Schwachstellen durch Fälschung von Anfragen auf Server-Seite führen (server-side request forgery - SSRF).
Our Response
Unsere Reaktion
The original index file, the version 0 format, is an XML file generated as part of any repo. It is available at either _index.xml_ or the more recent signed version at _index.jar_. Recent versions of the client will always try _index-v1.jar_ first, which is a signed JSON format. If that is not available, the client will fallback to _index.jar_. _index.jar_ is also used for the "nearby" app swapping functionality. All of these _index.jar_ files must pass the signature verification before the XML is parsed.
Die ursprüngliche Index-Datei, im Version-0-Format, ist eine XML-Datei, die als Teil eines jeden Repos generiert wird. Sie ist entweder als _index.xml_ oder in der neueren signierten Version als _index.jar_ abrufbar. Neueste Versionen des Clients werden immer zunächst _index-v1.jar_, in einem signiertem JSON-Format, suchen. Steht sie nicht zur Verfügung, wird der Client auf _index.jar_ ausweichen. _index.jar_ wird auch bei der „Nearby“-App-Tauschfunktion verwendet. Alle diese _index.jar_-Dateien müssen zuerst die Signatur-Verifizierung durchlaufen, bevor das XML analysiert wird.
Successful exploitation of this would require either a) the attacker was able to get the target to add a malicious repo, or b) the attacker was able to get the repo signing keys and then break into an existing repo's server and replace the index files. For example, a malicious actor could try to exploit someone via Nearby app swapping, so only get apps from people you trust. The way that the client is set up to parse the XML was vulnerable, and would allow a successful attacker to read files that the F-Droid app can read
Für eine erfolgreiche Ausnutzung davon wäre es erforderlich, dass entweder a) der Angreifer das Ziel erreichen konnte, ein bösartiges Repo hinzuzufügen, oder b) der Angreifer die Repo-Signierschlüssel beziehen und dann in einen bestehenden Repo-Server einbrechen und die Index-Dateien ersetzen konnte. Zum Beispiel könnte ein hinterhältiger Akteur versuchen, jemanden über den Nearby-App-Tausch auszuspähen, bezieht also nur Apps von Leuten, denen ihr traut. Die Art und Weise wie der Client aufgebaut ist, um das XML zu analysieren, war angreifbar und würde es einem erfolgreichen Angreifer ermöglichen, Dateien auszulesen, die die F-Droid-App lesen kann.
For f-droid.org and the Guardian Project repo, the index files are monitored, and changes to them are logged. So we can say with high confidence that _index-v1.jar_ was never removed, which is a prerequisite for exploiting this vulnerability.
Die Index-Dateien für f-droid.org und das Repo von Guardian Project werden überwacht und Änderungen an ihnen protokolliert. So können wir mit großem Selbstvertrauen sagen, dass _index-v1.jar_ niemals entfernt wurde, was eine Grundvoraussetzung für die Ausnutzung dieser Sicherheitslücke wäre.
F-Droid client v1.15.4 disables all support for XML External Entities. The v1.16-alpha0 no longer supports XML indexes at all, and all code related to the XML index parsing and generation was removed. We will also be working on improving the security of adding repos as part of the [FFDW-DVD]({% post_url 2022-02-05-decentralizing-distribution %}) funding.
Der F-Droid-Client der Version 1.15.4 deaktiviert die Unterstützung externer XML-Entitäten komplett. Die v1.16-alpha0 unterstützt überhaupt keine XML-Indizes mehr und aller Code mit Bezug zu XML-Index-Analyse und -Erzeugung wurde entfernt. Wir werden im Rahmen der [FFDW-DVD]({% post_url 2022-02-05-decentralizing-distribution %})-Förderung auch an der Verbesserung der Sicherheit beim Hinzufügen von Repos arbeiten.
CLN-005 -- Vulnerable TLS versions accepted
CLN-005 -- Akzeptanz angreifbarer TLS-Versionen
Vulnerability type: Insecure configuration
Schwachstellentyp: Unsichere Konfiguration
The backend domains used by the application accept obsolete TLS 1.0 and TLS 1.1 protocols.
Die von der Anwendung verwendeten Backend Domains akzeptieren obsolete Protokolle vom Typ TLS 1.0 und TLS 1.1.

Loading…

User avatar critdroid

Translation added

  1. F-Droid
  2. Website Posts
  3. German
Successful exploitation of this would require either a) the attacker was able to get the target to add a malicious repo, or b) the attacker was able to get the repo signing keys and then break into an existing repo's server and replace the index files. For example, a malicious actor could try to exploit someone via Nearby app swapping, so only get apps from people you trust. The way that the client is set up to parse the XML was vulnerable, and would allow a successful attacker to read files that the F-Droid app can read
Für eine erfolgreiche Ausnutzung davon wäre es erforderlich, dass entweder a) der Angreifer das Ziel erreichen konnte, ein bösartiges Repo hinzuzufügen, oder b) der Angreifer die Repo-Signierschlüssel beziehen und dann in einen bestehenden Repo-Server einbrechen und die Index-Dateien ersetzen konnte. Zum Beispiel könnte ein hinterhältiger Akteur versuchen, jemanden über den Nearby-App-Tausch auszuspähen, bezieht also nur Apps von Leuten, denen ihr traut. Die Art und Weise wie der Client aufgebaut ist, um das XML zu analysieren, war angreifbar und würde es einem erfolgreichen Angreifer ermöglichen, Dateien auszulesen, die die F-Droid-App lesen kann.
a year ago
User avatar None

String updated in the repository

  1. F-Droid
  2. Website Posts
  3. German
Successful exploitation of this would require either a) the attacker was able to get the target to add a malicious repo, or b) the attacker was able to get the repo signing keys and then break into an existing repo's server and replace the index files. For example, a malicious actor could try to exploit someone via Nearby app swapping, so only get apps from people you trust. The way that the client is set up to parse the XML was vulnerable, and would allow a successful attacker to read files that the F-Droid app can read
 
a year ago
Browse all string changes

Things to check

Consecutive duplicated words

Text contains the same word twice in a row: die

Reset

Mismatched full stop

Source and translation do not both end with a full stop

Reset

Glossary

English German
App App F-Droid Glossary
apps Apps F-Droid Glossary
F-Droid F-Droid Glossary
Nearby Umfeld F-Droid Glossary
Repo Repo F-Droid Glossary
Repo Paketquelle F-Droid Glossary
you Sie F-Droid Glossary

String information

Source string description
type: Plain text
Flags
md-text
Source string location
_posts/2022-12-22-third-audit-results.md
String age
a year ago
Last updated
a year ago
Source string age
a year ago
Translation file
po/_posts.de.po, string 3376