PT-2020-18981 · Update Framework · Tuf

Erik Maclean · Publicado 2020-02-05 · Atualizado 2020-08-21 · CVE-2020-6174

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do TUF (também conhecido como The Update Framework) anteriores à 0.7.1

TUF (também conhecido como The Update Framework) até a versão 0.12.1

Descrição

O problema está relacionado à verificação inadequada de assinaturas criptográficas, permitindo que alguém com acesso a uma chave de assinatura válida crie múltiplas assinaturas válidas e contorne a exigência de um limite mínimo de chaves únicas. Isso permite que um invasor faça com que os metadados pareçam válidos. Uma correção está disponível, e o problema foi relatado por Erick Tryzelaar, da equipe do Google Fuchsia.

Recomendações

Para versões do TUF (também conhecido como The Update Framework) anteriores à 0.7.1, atualize para a versão 0.7.1 para resolver o problema.

Para versões do TUF (também conhecido como The Update Framework) até a 0.12.1, atualize para uma versão posterior à 0.12.1 para resolver o problema.

Correção

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-347

Identificadores relacionados

CVE-2020-6174

GHSA-PWQF-9H7J-7MV8

PYSEC-2020-147

RUSTSEC-2020-0024

Produtos afetados

Tuf

Referências · 16

• https://github.com/theupdateframework/tuf/pull/974 · Correção
• https://github.com/theupdateframework/tuf/releases/tag/v0.12.2 · Nota
• https://github.com/theupdateframework/python-tuf/commit/2977188139d065ff3356c3cb4aec60c582b57e0e · Nota
• https://github.com/theupdateframework/tuf/security/advisories/GHSA-pwqf-9h7j-7mv8 · Nota
• https://github.com/theupdateframework/tuf · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/tuf/PYSEC-2020-147.yaml · Nota
• https://github.com/awslabs/tough/security/advisories/GHSA-5q2r-92f9-4m49 · Nota
• https://osv.dev/vulnerability/RUSTSEC-2020-0024 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-6174 · Nota de Segurança
• https://crates.io/crates/tough · Nota
• https://osv.dev/vulnerability/PYSEC-2020-147 · Aviso do Fabricante
• https://github.com/advisories/GHSA-pwqf-9h7j-7mv8 · Nota
• https://osv.dev/vulnerability/CVE-2020-6174 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-pwqf-9h7j-7mv8 · Aviso do Fabricante
• https://rustsec.org/advisories/RUSTSEC-2020-0024.html · Nota