PT-2021-14420 · Brave · Brave

Newfunction · Publicado 2021-02-23 · Atualizado 2022-01-07 · CVE-2021-21323

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Brave de 1.17.73 a 1.20.103

Descrição

O problema diz respeito ao recurso de bloqueio de anúncios CNAME no Brave, que foi adicionado na versão 1.17.73. Esse recurso acidentalmente iniciava solicitações de DNS que contornavam o proxy Tor do Brave. Como resultado, usuários com o bloqueio de anúncios ativado vazavam solicitações de DNS das janelas do Tor para seu provedor de DNS. Solicitações de DNS não iniciadas pelo bloqueio de anúncios CNAME ainda passavam pelo Tor, conforme esperado.

Recomendações

Para as versões 1.17.73 a 1.20.103, atualize para a versão 1.20.108 para resolver o problema.

Como solução temporária, considere desativar o recurso de bloqueio de anúncios CNAME até que a atualização para a versão 1.20.108 seja aplicada.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2021-21323

GHSA-MQJF-9X5G-2RV6

Produtos afetados

Brave

Referências · 10

• https://github.com/brave/brave-browser/security/advisories/GHSA-mqjf-9x5g-2rv6 · Nota
• https://github.com/brave/brave-browser/issues/13527 · Correção
• https://github.com/brave/brave-core/commit/12fe321eaad8acc1cbd1d70b4128f687777bcf15 · Correção
• https://github.com/brave/brave-core/pull/7769 · Correção
• https://t.me/cvenotify/10402 · Publicação no Telegram
• https://t.me/cvenotify/25122 · Publicação no Telegram
• https://hackerone.com/reports/1077022 · Nota
• https://osv.dev/vulnerability/CVE-2021-21323 · Aviso do Fabricante
• https://t.me/cibsecurity/24045 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-21323 · Nota de Segurança