PT-2020-13565 · Eventmachine · Eventmachine+1

Agustin Gianni + 1 · Publicado 2020-05-25 · Atualizado 2021-05-24 · CVE-2020-13482

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.4

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

EM-HTTP-Request versão 1.1.5

Descrição

A vulnerabilidade permite que um invasor realize um ataque man-in-the-middle contra usuários da biblioteca. Isso se deve ao uso inseguro da biblioteca eventmachine, que não verifica o nome do host em um certificado de servidor TLS.

Recomendações

Para a versão 1.1.5 do EM-HTTP-Request, considere atualizar para uma versão mais recente que verifique adequadamente o nome do host nos certificados de servidor TLS para evitar ataques man-in-the-middle. Como solução temporária, restrinja o uso da biblioteca eventmachine até que uma versão segura esteja disponível.

Exploit

Correção

Improper Certificate Validation

Enumeração de Fraquezas

CWE-295

Identificadores relacionados

CVE-2020-13482

GHSA-Q27F-V3R6-9V77

MGASA-2021-0172

RHSA-2021:0937

Produtos afetados

Em-Http-Request

Eventmachine

Referências · 20

• 🔥 https://github.com/igrigorik/em-http-request/issues/339 · Exploit
• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/em-http-request/CVE-2020-13482.yml · Exploit
• 🔥 https://securitylab.github.com/advisories/GHSL-2020-094-igrigorik-em-http-request · Exploit
• https://github.com/igrigorik/em-http-request · Nota
• https://github.com/igrigorik/em-http-request/commit/e5fa144f8d21050dd1fc15a4dc8aa34ac6f30602 · Nota
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/MKYP5TR5NTVVDX5R4HCNNH2OQR7M4X3J · Aviso do Fabricante
• https://bugs.mageia.org/show_bug.cgi?id=27976 · Nota
• https://t.me/cvenotify/10217 · Publicação no Telegram
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/MKYP5TR5NTVVDX5R4HCNNH2OQR7M4X3J · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-13482 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-13482 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/[e-mail]/thread/Z32PUJA6RGBZ3TKSOTGUXZ45662S3MVF · Aviso do Fabricante
• https://osv.dev/vulnerability/MGASA-2021-0172 · Aviso do Fabricante
• https://t.me/cvenotify/4039 · Publicação no Telegram
• https://advisories.mageia.org/MGASA-2021-0172.html · Nota de Segurança