Verizon Cloud Android CWE-22 Path Traversal Leading to Arbitrary File Upload

Verizon Cloud “Dirty Stream” 任意文件写入漏洞总结 漏洞概述 漏洞名称：Verizon Cloud (Android) “Dirty Stream” 任意文件写入漏洞 漏洞类型：CWE-22 路径遍历（Path Traversal） 影响：攻击者可向受害者 Verizon Cloud 账户中注入任意文件（任意文件写入） 状态：已在 26.7.10 版本中修复 影响范围 厂商/产品：Verizon / Verizon Cloud for Android（ ） 受影响版本：25.2.2（versionCode 2025021206）至 minSdk 29、targetSdk 35 触发条件： - Verizon Cloud 已配置并登录 - 设备处于 Wi-Fi 环境，跳过蜂窝备份确认对话框 - 无需用户交互，目标 Activity 自动完成 关键发现 1. Finding 1：未净化的 share-intent 文件拷贝（CWE-22, Dirty Stream） - 两个 Activity 无权限导出，接受 / - 文件拷贝时，目标文件名直接取自发送方 content-provider 的 （回退到 ），拼接后无基线剥离、规范化或包含性检查 2. Finding 2：攻击者文件被注入到受害者的云账户 - 不停留在本地拷贝，而是将暂存文件包装为上传项，推送到已登录的 Verizon Cloud 账户 - 上传对象的名称、MIME 类型、内容均为攻击者控制；无存储/账户/网络权限的本地应用即可向受害者云账户注入任意文件 - 允许单次调用注入多个文件 POC / 利用代码 Finding 1 相关代码（文件拷贝 sink） Finding 2 相关代码（云上传逻辑） 攻击者应用逻辑（POC 控制台输出） 结果： 出现在受害者的 Verizon Cloud 相册中（受害者未捕获到该图像）。 复现步骤 1. 安装并登录 Verizon Cloud，设备保持 Wi-Fi 连接 2. 安装 PoC 应用（无需任何权限） 3. 启动 PoC 并点击 SEND → OneTouchUploadActivity 4. 打开 Verizon Cloud 应用或网站，同步并观察被注入的文件 根因 目标文件名取自发送方控制的 content 元数据（ / ），拼接进文件路径时未做校验，且该 sink 可被无权限的导出 Activity 触达 暂存文件随后被推入上传管道 修复方案（26.7.10） 1. 将发送方提供的名称缩减为其 basename（ ），并拒绝包含路径分隔符或 的名称 2. 强制规范化路径包含性检查： ，否则中止 3. 优先使用应用生成的 UUID 作为暂存文件名，仅将 作为显示元数据使用 --- 研究者：Edward “Actuator” Warren（Actuator Security），通过 VulnCheck 协调披露

Goal Reached Thanks to every supporter — we hit 100%!

Verizon Cloud Android CWE-22 Path Traversal Leading to Arbitrary File Upload

More from this source