PT-2021-14474 · Wire · Wire-Server

Raphaelrobert · Publicado 2021-03-26 · Atualizado 2021-08-27 · CVE-2021-21396

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do wire-server de 16/02/2021 a 02/03/2021

Descrição

Os metadados de cliente de todos os usuários foram expostos no endpoint “GET /users/list-clients”. Esse endpoint poderia ser usado por qualquer usuário conectado para solicitar detalhes de qualquer outro usuário, desde que conseguisse encontrar seu ID de usuário. Os metadados expostos incluíam id, class, type, location, time e cookie. Um usuário no backend do Wire poderia usar esse endpoint para encontrar a hora e o local de registro de cada dispositivo para uma determinada lista de usuários.

Recomendações

Para as versões de 16/02/2021 a 02/03/2021, atualize para a versão de 02/03/2021 para resolver o problema.

Como solução alternativa temporária, considere remover “/list-clients” da configuração do nginx para minimizar o risco de exploração.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2021-21396

GHSA-QX8Q-RHQ2-RG4J

Produtos afetados

Wire-Server

Referências · 10

• https://github.com/wireapp/wire-server/releases/tag/v2021-03-02 · Nota
• https://github.com/wireapp/wire-server/security/advisories/GHSA-qx8q-rhq2-rg4j · Correção
• https://github.com/wireapp/wire-server/commit/7ba2bf4140282557cf215e0b2c354d4d08cd3421 · Correção
• https://t.me/cvenotify/12147 · Publicação no Telegram
• https://t.me/cvenotify/12123 · Publicação no Telegram
• https://t.me/cvenotify/20259 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-21396 · Nota de Segurança
• https://t.me/cvenotify/12192 · Publicação no Telegram
• https://t.me/cvenotify/12171 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-21396 · Aviso do Fabricante