PT-2021-11244 · Monal · Monal

Publicado 2021-02-01 · Atualizado 2021-02-05 · CVE-2020-26547

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Versões do Monal anteriores à 4.9

Descrição:

A vulnerabilidade permite que um invasor remoto, capaz de enviar stanzas à vítima, insira mensagens arbitrárias no histórico local. Isso dá ao invasor controle total sobre o remetente e o destinatário exibidos à vítima. O problema decorre da falta de verificação adequada do remetente nos resultados do MAM e do Message Carbon (XEP-0280).

Recomendações:

Para versões anteriores à 4.9, atualize para a versão 4.9 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso aos resultados do MAM e do Message Carbon (XEP-0280) até que a atualização seja aplicada.

Correção

Insufficient Verification of Data Authenticity

Enumeração de Fraquezas

CWE-345

Identificadores relacionados

CVE-2020-26547

Produtos afetados

Monal

Referências · 6

• https://github.com/anurodhp/Monal/commits/develop · Nota
• https://t.me/cvenotify/9213 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-26547 · Nota de Segurança
• https://t.me/cvenotify/9195 · Publicação no Telegram
• https://monal.im/blog/cve-2020-26547 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-26547 · Aviso do Fabricante