CVE-2024-39891
Twilio Authy Information Disclosure Vulnerability
Beschreibung
CVE-2024-39891 ist eine Schwachstelle mittlerer Schwere in der Twilio Authy API, die eine unautorisierte Offenlegung von Telefonnummerndaten ermoeglicht. Die Schwachstelle betrifft Authy fuer Android vor Version 25.1.0 und Authy fuer iOS vor Version 26.1.0 und wird mit einem CVSS-Score von 5.3 (MEDIUM) bewertet.
Die CISA hat CVE-2024-39891 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2024-08-13. Die Schwachstelle wurde im Juni 2024 aktiv ausgenutzt, wobei ein unauthentifizierter API-Endpunkt es Angreifern ermoeglichte, massenhaft Telefonnummern auf eine Registrierung bei Authy zu ueberpruefen. Der EPSS-Score von 29,58 % (96,5. Perzentil) weist auf eine signifikante Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:NIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| twilio | authy | < 26.1.0 |
| twilio | authy authenticator | < 25.1.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Referenzen
- https://cwe.mitre.org/data/definitions/203.html(Technical Description)
- https://www.bleepingcomputer.com/news/security/hackers-abused-api-to-verify-millions-of-authy-mfa-phone-numbers/(Press/Media Coverage)
- https://www.twilio.com/docs/usage/security/reporting-vulnerabilities(Product)
- https://www.twilio.com/en-us/changelog(Release Notes)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-39891(US Government Resource)
Schwachstellentyp
Information Disclosure via Observable Discrepancy
CVE-2024-39891 basiert auf einer Information-Disclosure-Schwachstelle, bei der ein unauthentifizierter API-Endpunkt unterschiedlich auf registrierte und nicht registrierte Telefonnummern reagiert. Diese Art von Schwachstelle wird als CWE-203 (Observable Discrepancy) klassifiziert -- ein System verhaelt sich beobachtbar unterschiedlich je nach internem Zustand, wodurch ein Angreifer Rueckschluesse auf vertrauliche Informationen ziehen kann.
Im konkreten Fall akzeptierte der Authy-API-Endpunkt einen Strom von Anfragen mit Telefonnummern und antwortete mit Informationen darueber, ob die jeweilige Nummer bei Authy registriert war. Dies ermoeglichte die massenhafte Enumeration von Authy-Benutzern.
Weitere Informationen: CWE-203 -- Observable Discrepancy
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-39891 betreffen primaer die Vertraulichkeit der Authy-Benutzerdaten. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N beschreibt eine Schwachstelle mit niedrigem Vertraulichkeitsimpact, jedoch ohne Auswirkungen auf Integritaet oder Verfuegbarkeit. Vertraulichkeit (Niedrig): Die offengelegten Informationen beschraenken sich auf die Zuordnung von Telefonnummern zu Authy-Konten. Diese scheinbar geringe Informationsmenge hat jedoch weitreichende Konsequenzen. Angreifer koennen damit gezielte Phishing-Kampagnen gegen Authy-Nutzer starten, Social-Engineering-Angriffe durchfuehren und die gewonnenen Daten mit anderen Datenlecks korrelieren. Da Authy als Multi-Faktor-Authentifizierungs-App genutzt wird, verraet die Registrierung, dass der Nutzer MFA einsetzt -- eine wertvolle Information fuer Angreifer, die ihre Angriffsstrategie entsprechend anpassen koennen. Der EPSS-Score von 29,58 % (96,5. Perzentil) und die bestaetigt aktive Massenausnutzung im Juni 2024 zeigen, dass die Schwachstelle bereits in grossem Umfang fuer die Enumeration von Millionen von Telefonnummern missbraucht wurde.
Exploit-Reifegrad
CVE-2024-39891 weist eine bestaetigt hohe Exploit-Reife auf, da die Schwachstelle im Juni 2024 aktiv und in grossem Massstab ausgenutzt wurde. Die CISA hat die Schwachstelle mit einer Behebungsfrist bis zum 2024-08-13 in den KEV-Katalog aufgenommen. Der EPSS-Score von 29,58 % (96,5. Perzentil) ist fuer eine Medium-Schwachstelle bemerkenswert hoch. Der Ransomware-Status ist als Unknown eingestuft. BleepingComputer berichtete ausfuehrlich darueber, wie Angreifer die API missbrauchten, um Millionen von Authy-MFA-Telefonnummern zu verifizieren. Die Ausnutzung erforderte lediglich das Senden von HTTP-Anfragen an den unauthentifizierten Endpunkt, was die Einstiegshuerde extrem niedrig macht. Automatisierte Skripte konnten in kurzer Zeit grosse Mengen an Telefonnummern ueberpruefen.
Behebung
-
Authy-Apps umgehend aktualisieren: Aktualisieren Sie Authy fuer Android auf Version 25.1.0 oder hoeher und Authy fuer iOS auf Version 26.1.0 oder hoeher. Die Updates sind ueber die jeweiligen App Stores verfuegbar. Informieren Sie alle Benutzer in Ihrem Unternehmen ueber die Notwendigkeit des Updates.
-
Benutzer ueber potenzielle Phishing-Risiken informieren: Da die Telefonnummern von Authy-Nutzern moeglicherweise bereits kompromittiert sind, sollten Benutzer ueber erhoehte Phishing-Risiken aufgeklaert werden. Warnen Sie vor verdaechtigen SMS, Anrufen und Nachrichten, die sich auf Zwei-Faktor-Authentifizierung beziehen.
-
Zusaetzliche Sicherheitsmassnahmen evaluieren: Pruefen Sie, ob Authy als alleinige MFA-Loesung ausreichend ist, oder ob zusaetzliche Authentifizierungsmethoden wie Hardware-Security-Keys (FIDO2/WebAuthn) implementiert werden sollten, die nicht von Telefonnummern abhaengen.
-
API-Zugriffe ueberwachen: Wenn Sie Twilio Authy in eigenen Anwendungen integriert haben, ueberpruefen Sie Ihre API-Nutzung und stellen Sie sicher, dass Rate-Limiting und Authentifizierung fuer alle Endpunkte korrekt implementiert sind.
-
Betroffene Konten ueberpruefen: Pruefen Sie, ob Konten mit Authy-MFA seit Juni 2024 ungewoehnliche Aktivitaeten aufweisen. Achten Sie auf versuchte Kontouebernahmen, verdaechtige Passwortzuruecksetzungen und SIM-Swapping-Versuche.
Technische Details
CVE-2024-39891 betrifft die Twilio Authy API, zugaenglich ueber Authy Android vor Version 25.1.0 und Authy iOS vor Version 26.1.0. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N beschreibt eine Schwachstelle mit begrenztem Vertraulichkeitsimpact. Angriffsvektor (Netzwerk): Die Schwachstelle ist ueber das Internet ueber die Twilio Authy API erreichbar. Angriffskomplexitaet (Niedrig): Die Ausnutzung erfordert lediglich das Senden von HTTP-Anfragen an den verwundbaren Endpunkt. Berechtigungen (Keine): Der betroffene API-Endpunkt erforderte keine Authentifizierung. Benutzerinteraktion (Keine): Der Angriff erfolgt vollstaendig serverseitig ohne Benutzerinteraktion. Der Angriffsmechanismus ist technisch simpel: Der unauthentifizierte API-Endpunkt akzeptierte Anfragen mit Telefonnummern und antwortete unterschiedlich je nachdem, ob die Nummer bei Authy registriert war oder nicht. Durch massenhaftes Senden von Anfragen konnten Angreifer grosse Telefonnummernbereiche durchiterieren und registrierte Authy-Nutzer identifizieren. Die fehlende Rate-Limitierung und Authentifizierung des Endpunkts ermoeglichte die Enumeration von Millionen von Nummern in kurzer Zeit.
Häufig gestellte Fragen
Welche Daten wurden durch CVE-2024-39891 offengelegt?
Die Schwachstelle ermoeglichte es Angreifern, fuer beliebige Telefonnummern zu ueberpruefen, ob diese bei Authy registriert sind. Es wurden keine Passwoerter, MFA-Codes oder Kontoinhalte offengelegt. Dennoch ist die Information, welche Telefonnummern Authy nutzen, fuer gezielte Angriffe wie SIM-Swapping und Phishing wertvoll.
Muss ich meine MFA-Methode wechseln?
Ein Wechsel der MFA-Methode ist nicht zwingend erforderlich, solange Authy auf die neueste Version aktualisiert wird. Es empfiehlt sich jedoch, zusaetzlich Hardware-Security-Keys (FIDO2/WebAuthn) als primaere MFA-Methode zu evaluieren, da diese nicht von Telefonnummern abhaengen und gegen SIM-Swapping immun sind.
Wie viele Authy-Nutzer waren betroffen?
Twilio hat bestaetigt, dass die Schwachstelle im Juni 2024 aktiv ausgenutzt wurde, um Telefonnummerndaten zu enumerieren. Medienberichte sprechen von Millionen betroffener Telefonnummern. Die genaue Zahl der betroffenen Nutzer wurde von Twilio nicht offiziell beziffert.
Was kann ich tun, wenn meine Nummer betroffen ist?
Seien Sie besonders wachsam gegenueber Phishing-Versuchen per SMS oder Anruf, die sich auf Zwei-Faktor-Authentifizierung beziehen. Aktivieren Sie einen SIM-PIN bei Ihrem Mobilfunkanbieter, um SIM-Swapping zu erschweren. Erwaegen Sie den Einsatz von Hardware-Security-Keys als zusaetzliche Sicherheitsmassnahme.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.