PT-2020-15770 · Mlt · Shotcut

Ddennedy · Publicado 2020-09-22 · Atualizado 2021-07-21 · CVE-2020-24619

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Shotcut anteriores à 20.09.13

Descrição

O problema decorre do uso indevido do TLS na verificação de atualizações, devido à configuração de setPeerVerifyMode(QSslSocket::VerifyNone) no arquivo mainwindow.cpp. Isso poderia permitir que um invasor do tipo “man-in-the-middle” oferecesse um recurso de download falsificado.

Recomendações

Para versões anteriores à 20.09.13, atualize para a versão 20.09.13 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à rede a fontes confiáveis até que a atualização seja aplicada.

Correção

Improper Certificate Validation

Enumeração de Fraquezas

CWE-295

Identificadores relacionados

CVE-2020-24619

Produtos afetados

Shotcut

Referências · 7

• https://github.com/mltframework/shotcut/commit/f008adc039642307f6ee3378d378cdb842e52c1d · Correção
• https://ubuntu.com/security/CVE-2020-24619 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-24619 · Aviso do Fabricante
• https://shotcut.org/blog/new-release-200913 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2020-24619 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-24619 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-24619 · Nota de Segurança