PT-2020-7604 · Signond · Signond

Marc Deslauriers + 1 · Publicado 2020-05-07 · Atualizado 2020-05-12 · CVE-2014-1423

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:L/AC:L/PR:L/UI:R/S:C/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do signond anteriores à 8.57+15.04.20141127.1-0ubuntu1

Descrição

O problema está relacionado ao aplicativo signond, que não restringiu adequadamente outras aplicações de consultar tokens OAuth devido a verificações incorretas e à falta de instalação do signon-apparmor-extension. Isso poderia permitir que um invasor criasse um aplicativo malicioso que coletasse tokens OAuth para outras aplicações, expondo potencialmente informações confidenciais.

Recomendações

Para versões anteriores à 8.57+15.04.20141127.1-0ubuntu1, atualize para a versão 8.57+15.04.20141127.1-0ubuntu1 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o uso de tokens OAuth ou implementar medidas de segurança adicionais para minimizar o risco de exploração.

Correção

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-522

Identificadores relacionados

CVE-2014-1423

Produtos afetados

Signond

Referências · 6

• https://bugs.launchpad.net/ubuntu/+source/signon/+bug/1392380 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2014-1423 · Nota de Segurança
• http://bazaar.launchpad.net/~online-accounts/signon/upstream/revision/645 · Nota
• https://t.me/cvenotify/3657 · Publicação no Telegram
• http://bazaar.launchpad.net/~online-accounts/signon/upstream/revision/644 · Nota
• https://t.me/cibsecurity/11936 · Publicação no Telegram