中危
Twilio Authy API信息泄露漏洞
2024-07-02 00:00:00 公开 ，2026-02-28 06:45:39 更新
- CISA KEV
- 关键漏洞
- 无需认证
- 远程
- 公开PoC
- CWEs：
- CWE-203 （Observable Discrepancy）
- SSVC：
- 可利用状态：已被积极利用攻击自动化：是技术影响评估：部分 2024-07-23 11:55:42
风险信息
- CVSS v3 向量
- AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
- CVSS v3 风险值
- 5.3
- CVSS v3.1 向量
- AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
- CVSS v3.1 风险值
- 5.3
详细信息
- 漏洞类型
- 其他
- 漏洞描述
- Twilio Authy API for Android 25.1.0之前版本、Twilio Authy API for iOS 26.1.0之前版本可允许远程攻击者获取敏感信息，这是由于授权验证不当所致。通过发送电话号码数据，攻击者可以利用此漏洞获取有关每个电话号码是否已在Authy注册的信息，并使用此信息对受影响的系统发起进一步攻击。
- 修复建议
- 更新至Authy Android v25.1.0及iOS应用程式v26.1.0或更高版本，参考链接： https://www.twilio.com/en-us/changelog/Security_Alert_Authy_App_Android_iOS
参考链接
- https://cwe.mitre.org/data/definitions/203.html
CVE · Technical Description
- https://www.bleepingcomputer.com/news/security/hackers-abused-api-to-verify-millions-of-authy-mfa-phone-numbers/
CVE · Press/Media Coverage
- https://www.twilio.com/docs/usage/security/reporting-vulnerabilities
CVE · Product
- https://www.twilio.com/en-us/changelog
CVE · Release Notes · Product
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-39891
NVD · US Government Resource