Epson iProjection Android应用硬编码凭证漏洞(CVE-2021-43717)

漏洞概述 CVE ID: CVE-2021-43717 厂商: Epson 产品: Epson iProjection Android 应用，v3.2.6 受影响硬件: Epson EH-TW5350 投影仪（任何启用了 iProjection 功能的设备） 漏洞类型: 使用硬编码凭证（CVE-798） 发现者: B-BEAM-BOB (KITRI Best of the Best), 2021 贡献者: Jae-Yong Lee, Seung-Min Kang, Kwang-Ryeol Kim, Won-Beom Im, Yu-Taek Jun, Tae-Hoon Ha 影响范围 Epson iProjection Android 应用（v3.2.6）包含硬编码的认证凭证，用于访问启用了 iProjection 功能的 Epson 投影仪的 Web 控制界面。攻击者可以通过反编译 APK 文件恢复这些凭证，并利用它们来控制和操作任何可达的投影仪，而无需知道或重置设备的实际配置凭证。 修复方案 不要将静态、共享凭证嵌入客户端应用程序二进制文件中。使用每设备配置（例如，在设置时生成的配对/PIN 基于认证），以便从应用程序的一个安装中恢复凭证不会授予对其他设备的访问权限。 时间线 2021-11: 由 B-BEAM-BOB 在 KITRI Best of the Best 计划中发现。 2021: 报告给 Epson。 2021-12-21: CVE-2021-43717 由 MITRE 分配（ticket scr172475）。 2026: 公开公告发布。 详细信息 1. iProjection 应用通过向投影仪的 Web 控制界面进行认证，以发送远程控制命令。 2. 静态分析（反编译）APK 文件显示，应用程序代码中嵌入了硬编码的认证凭证，包括用户名 和相应的硬编码密码。 3. 这些凭证被应用程序自动使用，每当它连接到 端点时——它们不是唯一的，适用于每台设备或每次安装。 4. 攻击者不需要物理或特权访问目标投影仪来获取凭证；反编译公开分发的 APK 就足够了。 根本原因 应用程序在编译代码中嵌入了静态、共享的认证凭证，而不是派生或配置每设备凭证，因此从任何 APK 副本中恢复凭证都会危及所有依赖于此的设备。 影响 任何能够提取硬编码凭证的攻击者都可以作为合法的 iProjection 客户端进行认证，并向目标 Epson 投影仪的 Web 控制界面发出控制命令（参见 CVE-2021-43718 以获取可访问的操作范围）。 攻击场景 1. 攻击者下载并反编译公开可用的 Epson iProjection APK。 2. 攻击者从反编译的源/资源中提取硬编码的 凭证。 3. 攻击者在本地网络上识别启用了 iProjection 功能的投影仪。 4. 攻击者使用提取的凭证向投影仪的 Web 控制界面进行认证，并像合法移动客户端一样发出控制命令。 时间线 2021-11: 由 B-BEAM-BOB 在 KITRI Best of the Best 计划中发现。 2021: 报告给 Epson。 2021-12-21: CVE-2021-43717 由 MITRE 分配（ticket scr172475）。 2026: 公开公告发布。 修复方案 不要将静态、共享凭证嵌入客户端应用程序二进制文件中。使用每设备配置（例如，在设置时生成的配对/PIN 基于认证），以便从应用程序的一个安装中恢复凭证不会授予对其他设备的访问权限。 时间线 2021-11: 由 B-BEAM-BOB 在 KITRI Best of the Best 计划中发现。 2021: 报告给 Epson。 2021-12-21: CVE-2021-43717 由 MITRE 分配（ticket scr172475）。 2026: 公开公告发布。 详细信息 1. iProjection 应用通过向投影仪的 Web 控制界面进行认证，以发送远程控制命令。 2. 静态分析（反编译）APK 文件显示，应用程序代码中嵌入了硬编码的认证凭证，包括用户名 和相应的硬编码密码。 3. 这些凭证被应用程序自动使用，每当它连接到 端点时——它们不是唯一的，适用于每台设备或每次安装。 4. 攻击者不需要物理或特权访问目标投影仪来获取凭证；反编译公开分发的 APK 就足够了。 根本原因 应用程序在编译代码中嵌入了静态、共享的认证凭证，而不是派生或配置每设备凭证，因此从任何 APK 副本中恢复凭证都会危及所有依赖于此的设备。 影响 任何能够提取硬编码凭证的攻击者都可以作为合法的 iProjection 客户端进行认证，并向目标 Epson 投影仪的 Web 控制界面发出控制命令（参见 CVE-2021-43718 以获取可访问的操作范围）。 攻击场景 1. 攻击者下载并反编译公开可用的 Epson iProjection APK。 2. 攻击者从反编译的源/资源中提取硬编码的 凭证。 3. 攻击者在本地网络上识别启用了 iProjection 功能的投影仪。 4. 攻击者使用提取的凭证向投影仪的 Web 控制界面进行认证，并像合法移动客户端一样发出控制命令。 修复方案 不要将静态、共享凭证嵌入客户端应用程序二进制文件中。使用每设备配置（例如，在设置时生成的配对/PIN 基于认证），以便从应用程序的一个安装中恢复凭证不会授予对其他设备的访问权限。 时间线 2021-11: 由 B-BEAM-BOB 在 KITRI Best of the Best 计划中发现。 2021: 报告给 Epson。 2021-12-21: CVE-2021-43717 由 MITRE 分配（ticket scr172475）。 2026: 公开公告发布。 详细信息 1. iProjection 应用通过向投影仪的 Web 控制界面进行认证，以发送远程控制命令。 2. 静态分析（反编译）APK 文件显示，应用程序代码中嵌入了硬编码的认证凭证，包括用户名 和相应的硬编码密码。 3. 这些凭证被应用程序自动使用，每当它连接到 端点时——它们不是唯一的，适用于每台设备或每次安装。 4. 攻击者不需要物理或特权访问目标投影仪来获取凭证；反编译公开分发的 APK 就足够了。 根本原因 应用程序在编译代码中嵌入了静态、共享的认证凭证，而不是派生或配置每设备凭证，因此从任何 APK 副本中恢复凭证都会危及所有依赖于此的设备。 影响 任何能够提取硬编码凭证的攻击者都可以作为合法的 iProjection 客户端进行认证，并向目标 Epson 投影仪的 Web 控制界面发出控制命令（参见 CVE-2021-43718 以获取可访问的操作范围）。 攻击场景 1. 攻击者下载并反编译公开可用的 Epson iProjection APK。 2. 攻击者从反编译的源/资源中提取硬编码的 凭证。 3. 攻击者在本地网络上识别启用了 iProjection 功能的投影仪。 4. 攻击者使用提取的凭证向投影仪的 Web 控制界面进行认证，并像合法移动客户端一样发出控制命令。 修复方案 不要将静态、共享凭证嵌入客户端应用程序二进制文件中。使用每设备配置（例如，在设置时生成的配对/PIN 基于认证），以便从应用程序的一个安装中恢复凭证不会授予对其他设备的访问权限。 时间线 2021-11: 由 B-BEAM-BOB 在 KITRI Best of the Best 计划中发现。 2021: 报告给 Epson。 2021-12-21: CVE-2021-43717 由 MITRE 分配（ticket scr172475）。 2026: 公开公告发布。 详细信息 1. iProjection 应用通过向投影仪的 Web 控制界面进行认证，以发送远程控制命令。 2. 静态分析（反编译）APK 文件显示，应用程序代码中嵌入了硬编码的认证凭证，包括用户名 和相应的硬编码密码。 3. 这些凭证被应用程序自动使用，每当它连接到 端点时——它们不是唯一的，适用于每台设备或每次安装。 4. 攻击者不需要物理或特权访问目标投影仪来获取凭证；反编译公开分发的 APK 就足够了。 根本原因 应用程序在编译代码中嵌入了静态、共享的认证凭证，而不是派生或配置每设备凭证，因此从任何 APK 副本中恢复凭证都会危及所有依赖于此的设备。 影响 任何能够提取硬编码凭证的攻击者都可以作为合法的 iProjection 客户端进行认证，并向目标 Epson 投影仪的 Web 控制界面发出控制命令（参见 CVE-2021-43718 以获取可访问的操作范围）。 攻击场景 1. 攻击者下载并反编译公开可用的 Epson iProjection APK。 2. 攻击者从反编译的源/资源中提取硬编码的 凭证。 3. 攻击者在本地网络上识别启用了 iProjection 功能的投影仪。 4. 攻击者使用提取的凭证向投影仪的 Web 控制界面进行认证，并像合法移动客户端一样发出控制命令。 修复方案 不要将静态、共享凭证嵌入客户端应用程序二进制文件中。使用每设备配置（例如，在设置时生成的配对/PIN 基于认证），以便从应用程序的一个安装中恢复凭证不会授予对其他设备的访问权限。 时间线 2021-11: 由 B-BEAM-BOB 在 KITRI Best of the Best 计划中发现。 2021: 报告给 Epson。 2021-12-21: CVE-2021-43717 由 MITRE 分配（ticket scr172475）。 2026: 公开公告发布。 详细信息 1. iProjection 应用通过向投影仪的 Web 控制界面进行认证，以发送远程控制命令。 2. 静态分析（反编译）APK 文件显示，应用程序代码中嵌入了硬编码的认证凭证，包括用户名 和相应的硬编码密码。 3. 这些凭证被应用程序自动使用，每当它连接到 端点时——它们不是唯一的，适用于每台设备或每次安装。 4. 攻击者不需要物理或特权访问目标投影仪来获取凭证；反编译公开分发的 APK 就足够了。 根本原因 应用程序在编译代码中嵌入了静态、共享的认证凭证，而不是派生或配置每设备凭证，因此从任何 APK 副本中恢复凭证都会危及所有依赖于此的设备。 影响 任何能够提取硬编码凭证的攻击者都可以作为合法的 iProjection 客户端进行认证，并向目标 Epson 投影仪的 Web 控制界面发出控制命令（参见 CVE-2021-43718 以获取可访问的操作范围）。 攻击场景 1. 攻击者下载并反编译公开可用的 Epson iProjection APK。 2. 攻击者从反编译的源/资源中提取硬编码的 凭证。 3. 攻击者在本地网络上识别启用了 iProjection 功能的投影仪。 4. 攻击者使用提取的凭证向投影仪的 Web 控制界面进行认证，并像合法移动客户端一样发出控制命令。 修复方案 不要将静态、共享凭证嵌入客户端应用程序二进制文件中。使用每设备配置（例如，在设置时生成的配对/PIN 基于认证），以便从应用程序的一个安装中恢复凭证不会授予对其他设备的访问权限。 时间线 2021-11: 由 B-BEAM-BOB 在 KITRI Best of the Best 计划中发现。 2021: 报告给 Epson。 2021-12-21: CVE-2021-43717 由 MITRE 分配（ticket scr172475）。 2026: 公开公告发布。 详细信息 1. iProjection 应用通过向投影仪的 Web 控制界面进行认证，以发送远程控制命令。 2. 静态分析（反编译）APK 文件显示，应用程序代码中嵌入了硬编码的认证凭证，包括用户名 和相应的硬编码密码。 3. 这些凭证被应用程序自动使用，每当它连接到 端点时——它们不是唯一的，适用于每台设备或每次安装。 4. 攻击者不需要物理或特权访问目标投影仪来

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Epson iProjection Android应用硬编码凭证漏洞(CVE-2021-43717)

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Epson iProjection Android应用硬编码凭证漏洞(CVE-2021-43717)

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！