PT-2020-14178 · Tough · Tough Library

Erik Maclean · Publicado 2020-07-09 · Atualizado 2021-10-26 · CVE-2020-15093

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões da biblioteca tough anteriores à 0.7.1

Descrição

O problema decorre da falha da biblioteca tough em verificar adequadamente a exclusividade das chaves nas assinaturas fornecidas, permitindo que um invasor com acesso a uma chave de assinatura válida crie várias assinaturas válidas. Isso pode ser usado para contornar a exigência de um limite mínimo de assinaturas únicas antes que os metadados sejam considerados válidos. Uma correção está disponível na versão 0.7.1.

Recomendações

Para versões anteriores à 0.7.1, atualize para a versão 0.7.1 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso às chaves de assinatura para minimizar o risco de exploração.

Correção

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-347

Identificadores relacionados

CVE-2020-15093

GHSA-5Q2R-92F9-4M49

RUSTSEC-2020-0024

Produtos afetados

Tough Library

Referências · 11

• https://github.com/theupdateframework/tuf/commit/2977188139d065ff3356c3cb4aec60c582b57e0e · Correção
• https://github.com/theupdateframework/tuf/pull/974 · Correção
• https://github.com/awslabs/tough · Nota
• https://github.com/awslabs/tough/security/advisories/GHSA-5q2r-92f9-4m49 · Nota
• https://osv.dev/vulnerability/CVE-2020-15093 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-15093 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-5q2r-92f9-4m49 · Aviso do Fabricante
• https://osv.dev/vulnerability/RUSTSEC-2020-0024 · Aviso do Fabricante
• https://rustsec.org/advisories/RUSTSEC-2020-0024.html · Nota
• https://crates.io/crates/tough · Nota
• https://t.me/cvenotify/4960 · Publicação no Telegram