KEV · Activement exploitée

CVE-2024-39891

CVE-2024-39891 est activement exploitée (catalogue CISA KEV) : sévérité medium (CVSS 5.3), 2 apps suivies concernées, aucune encore exposée en version courante.

Gravité (CVSS): 5.3
Exploitation: Avérée
Apps suivies: 2
Encore exposées: 0

Publié le 2024-07-02

EN In the Twilio Authy API, accessed by Authy Android before 25.1.0 and Authy iOS before 26.1.0, an unauthenticated endpoint provided access to certain phone-number data, as exploited in the wild in June 2024. Specifically, the endpoint accepted a stream of requests containing phone numbers, and responded with information about whether each phone number was registered with Authy. (Authy accounts were not compromised, however.)

Vecteur d'attaque : Réseau Aucun privilège requis Sans interaction utilisateur

Voir le vecteur CVSS brut

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

EPSS 1.67% modèle prédictif ; la CISA constate une exploitation avérée percentile 75.4%

CISA Known Exploited Vulnerability

Ajouté au KEV: 2024-07-23
Deadline remédiation: 2024-08-13
Action requise: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Ransomware: Inconnu (non documenté par CISA)

Apps suivies liées à cette CVE

Pour chaque app : la plage affectée, la version qui corrige, et où en est l'app suivie aujourd'hui.

Authy iOS ios:com.authy.authy

Affecté <26.1.0 Corrigé 26.1.0 Dernière suivie - indéterminé
Twilio Authy Authenticator Android com.authy.authy

Affecté <25.1.0 Corrigé 25.1.0 Dernière suivie 27.7.0 patchée

Builds affectées observées (9)

24.13.7 24.13.6 24.13.5 24.10.0 24.8.7 24.8.5 24.8.2 23.9.2 23.9.1

Configurations CPE vulnérables (2)

Vendor	Produit	Plateforme	Versions	CPE 2.3 URI
twilio	authy iOS	iOS	<26.1.0	cpe:2.3:a:twilio:authy::::::iphone_os::*
twilio	authy_authenticator Android	Android	<25.1.0	cpe:2.3:a:twilio:authy_authenticator::::::android::*

Voir sur NVD ↗ Catalogue CISA KEV ↗