PT-2020-6333 · Eclipse · Eclipse Tinydtls

Publicado 2020-11-13 · Atualizado 2021-07-12 · CVE-2021-34430

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Eclipse TinyDTLS até a 0.9-rc1

Descrição

O problema está relacionado a erros no código do gerador de números pseudoaleatórios. Isso facilita que invasores remotos calculem a chave mestra e, em seguida, descriptografem o tráfego DTLS, permitindo-lhes, potencialmente, revelar informações protegidas.

Recomendações

Para as versões do Eclipse TinyDTLS até a 0.9-rc1, considere atualizar para uma versão que não dependa da função rand da biblioteca C para a geração de números pseudoaleatórios, pois isso mitigaria o risco de cálculo da chave mestra e descriptografia do tráfego DTLS por invasores remotos.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Inadequate Encryption Strength

Enumeração de Fraquezas

CWE-326

CWE-338

Identificadores relacionados

BDU:2021-04207

CVE-2021-34430

Produtos afetados

Eclipse Tinydtls

Referências · 5

• 🔥 https://bugs.eclipse.org/bugs/show_bug.cgi?id=568803 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2021-34430 · Nota de Segurança
• https://bdu.fstec.ru/vul/2021-04207 · Nota de Segurança
• https://t.me/cibsecurity/25994 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-34430 · Aviso do Fabricante