PT-2021-12003 · Vaadin · Vaadin+1

Christian Knoop · Publicado 2021-04-19 · Atualizado 2022-09-20 · CVE-2020-36319

Positive Technologies (AI Summary) · Pt

CVSS v2.0

3.5

Baixa

Vetor base

AV:N/AC:M/Au:S/C:P/I:N/A:N

**Nome do software vulnerável e versões afetadas:

com.vaadin:flow-server, versões 3.0.0 a 3.0.5

Vaadin, versões 15.0.0 a 15.0.4

Descrição:

O problema está relacionado a uma configuração insegura do ObjectMapper padrão no software afetado. Isso pode expor dados confidenciais se o aplicativo também usar certas anotações, como @RestController.

Recomendações:

Para as versões 3.0.0 a 3.0.5 do com.vaadin:flow-server, atualize a configuração do ObjectMapper padrão para torná-lo seguro.

Para as versões 15.0.0 a 15.0.4 do Vaadin, atualize a configuração do ObjectMapper padrão para torná-lo seguro.

Como solução alternativa temporária, considere restringir o uso de @RestController em aplicativos que utilizam as versões afetadas até que uma configuração segura seja aplicada.

Correção

Exposure of Resource to Wrong Sphere

Information Disclosure

Enumeração de Fraquezas

CWE-668

CWE-200

Identificadores relacionados

CVE-2020-36319

GHSA-76F4-FW33-6J2V

GHSA-RJWW-2X8V-M9V9

Produtos afetados

Vaadin

Com.Vaadin:Flow-Server

Referências · 11

• https://github.com/vaadin/flow · Nota
• https://github.com/vaadin/flow/pull/8016 · Correção
• https://github.com/vaadin/flow/pull/8051 · Correção
• https://github.com/vaadin/flow/security/advisories/GHSA-rjww-2x8v-m9v9 · Nota
• https://github.com/vaadin/platform · Nota
• https://github.com/vaadin/platform/security/advisories/GHSA-76f4-fw33-6j2v · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-36319 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-36319 · Aviso do Fabricante
• https://vaadin.com/security/cve-2020-36319 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-76f4-fw33-6j2v · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-rjww-2x8v-m9v9 · Aviso do Fabricante