PT-2020-16386 · Tlslite Ng · Tlslite-Ng

Tomato42 · Publicado 2020-12-21 · Atualizado 2020-12-23 · CVE-2020-26263

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do tlslite-ng anteriores à 0.7.6 e à 0.8.0-alpha39

Descrição

O código que realiza a descriptografia e a verificação de preenchimento na descriptografia RSA PKCS#1 v1.5 é dependente de dados, vazando informações sobre o texto cifrado descriptografado. Isso afeta todos os servidores TLS que habilitam a troca de chaves RSA e aplicativos que utilizam diretamente a API de descriptografia RSA.

Recomendações

Para versões anteriores à 0.7.6, atualize para a versão 0.7.6 ou posterior.

Para versões anteriores à 0.8.0-alpha39, atualize para a versão 0.8.0-alpha39 ou posterior.

Como solução alternativa temporária, considere usar implementações TLS diferentes para minimizar o risco de exploração, já que os patches dependem do Python processar bytes individuais de maneira livre de canal lateral, o que se sabe não ser o caso.

Exploit

Correção

Inadequate Encryption Strength

Enumeração de Fraquezas

CWE-326

Identificadores relacionados

CVE-2020-26263

GHSA-WVCV-832Q-FJG7

PYSEC-2020-143

Produtos afetados

Tlslite-Ng

Referências · 16

• 🔥 https://github.com/tlsfuzzer/tlslite-ng/security/advisories/GHSA-wvcv-832q-fjg7 · Exploit
• 🔥 https://securitypitfalls.wordpress.com/2018/08/03/constant-time-compare-in-python · Exploit
• https://github.com/tlsfuzzer/tlslite-ng/pull/439 · Correção
• https://github.com/tlsfuzzer/tlslite-ng/pull/438 · Correção
• https://github.com/tlsfuzzer/tlslite-ng/commit/c28d6d387bba59d8bd5cb3ba15edc42edf54b368 · Correção
• https://github.com/pypa/advisory-database/tree/main/vulns/tlslite-ng/PYSEC-2020-143.yaml · Nota
• https://github.com/tlsfuzzer/tlslite-ng · Nota
• https://osv.dev/vulnerability/PYSEC-2020-143 · Aviso do Fabricante
• https://pypi.org/project/tlslite-ng · Nota
• https://osv.dev/vulnerability/CVE-2020-26263 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2020-26263 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-26263 · Nota de Segurança
• https://t.me/cvenotify/7491 · Publicação no Telegram
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-26263 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2020-26263 · Nota de Segurança