PT-2020-14737 · Dp3T · Dp3T-Backend-Sdk

Mrsuicideparrot · Publicado 2020-07-30 · Atualizado 2020-08-05 · CVE-2020-15957

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do DP3T-Backend-SDK anteriores à 1.1.1

Descrição

Foi detectada uma falha no DP3T-Backend-SDK. Quando configurado para verificar o JWT antes de enviar ou publicar chaves, é possível ignorar a verificação da assinatura fornecendo um token JWT com alg=none.

Recomendações

Para versões anteriores à 1.1.1, atualize para a versão 1.1.1 ou posterior para resolver o problema. Como solução temporária, considere desativar a verificação de JWT ou restringir o uso do parâmetro alg=none até que um patch esteja disponível.

Correção

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-347

Identificadores relacionados

CVE-2020-15957

GHSA-5M5Q-3QW2-3XF3

Produtos afetados

Dp3T-Backend-Sdk

Referências · 5

• https://github.com/DP-3T/dp3t-sdk-backend/security/advisories/GHSA-5m5q-3qw2-3xf3 · Correção
• https://github.com/dp-3T/dp3t-sdk-backend · Nota
• https://github.com/DP-3T/dp3t-sdk-backend/compare/v1.0.4...v1.1.0 · Nota
• https://osv.dev/vulnerability/CVE-2020-15957 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-15957 · Nota de Segurança