PT-2021-15144 · Unknown · Exposure Notification Server

Sethvargo · Publicado 2021-11-10 · Atualizado 2024-08-21 · CVE-2021-22565

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do servidor de notificação de exposição anteriores à V1.1.2

Descrição

Um invasor poderia fazer com que um código de verificação expirasse prematuramente, tornando-o inutilizável pelo paciente e impedindo-o de enviar seus TEKs para gerar notificações de exposição. Usuários ou chaves de API com permissão para expirar códigos de verificação poderiam ter expirado códigos pertencentes a outro domínio caso adivinhassem o UUID. Os códigos de verificação só podem ser expirados mediante o fornecimento de seu UUID de 64 bits, e os códigos de verificação já são válidos por um período de tempo muito curto.

Recomendações

Para versões do servidor de Notificação de Exposição anteriores à V1.1.2, atualize o servidor para a V1.1.2 ou superior.

Correção

Improper Access Control

Enumeração de Fraquezas

CWE-284

Identificadores relacionados

CVE-2021-22565

GHSA-WX8Q-RGFR-CF6V

GO-2022-0270

Produtos afetados

Exposure Notification Server

Referências · 8

• https://github.com/google/exposure-notifications-verification-server/releases/tag/v1.1.2 · Correção
• https://github.com/google/exposure-notifications-verification-server/security/advisories/GHSA-wx8q-rgfr-cf6v · Nota
• https://github.com/google/exposure-notifications-verification-server · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-22565 · Nota de Segurança
• https://t.me/cibsecurity/33678 · Publicação no Telegram
• https://osv.dev/vulnerability/GO-2022-0270 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-22565 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-wx8q-rgfr-cf6v · Aviso do Fabricante