PT-2020-13726 · Sylabs+1 · Sylabs Singularity+1
Publicado
2020-07-14
·
Atualizado
2024-06-15
·
CVE-2020-13845
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N |
Nome do software vulnerável e versões afetadas
Sylabs Singularity, versões 3.0 a 3.5
Descrição
O problema diz respeito à validação incorreta de um valor de verificação de integridade no Sylabs Singularity. Especificamente, a integridade da imagem não é validada quando uma política da Lista de Controle de Execução (ECL) é aplicada. A impressão digital exigida pela ECL é comparada com o(s) descritor(es) de objeto de assinatura no arquivo SIF, em vez de ser comparada com uma assinatura validada criptograficamente. Isso permite que um usuário mal-intencionado contorne a ECL criando uma carga útil arbitrária que será autorizada a ser executada, mesmo sem acesso à chave privada associada à(s) impressão(ões) digital(is) configurada(s) na ECL.
Recomendações
Para as versões 3.0 a 3.5 do Sylabs Singularity, atualize para a versão 3.6.0 para resolver o problema. Observe que a versão 3.6.0 usa um novo formato de assinatura incompatível com versões anteriores. Para facilitar a transição, a opção
legacyinsecure pode ser definida como legacyinsecure = true no arquivo ecl.toml para permitir a verificação de assinaturas legadas mais antigas e inseguras, mas isso deve ser usado apenas temporariamente.Correção
Improper Verification of Cryptographic Signature
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Suse
Sylabs Singularity