PT-2021-16989 · Apache · Apache Myfaces Core
Wolfgang Ettlinger
·
Publicado
2021-02-19
·
Atualizado
2021-06-16
·
CVE-2021-26296
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Apache MyFaces Core, versões 2.2.0 a 2.2.13
Apache MyFaces Core, versões 2.3.0 a 2.3.7
Apache MyFaces Core, versões 2.3-next-M1 a 2.3-next-M4
Apache MyFaces Core versão 3.0.0-RC1
Descrição
O problema decorre do uso de tokens implícitos e explícitos de falsificação de solicitação entre sites (CSRF) com criptografia fraca na configuração padrão. Essa vulnerabilidade torna possível, embora difícil, que um invasor calcule o valor de um token CSRF futuro e o utilize para induzir um usuário a executar ações indesejadas em um aplicativo.
Recomendações
Para as versões 2.2.0 a 2.2.13 do Apache MyFaces Core, atualize os parâmetros de configuração do web.xml para usar o SecureRandom na geração de tokens CSRF, definindo
org.apache.myfaces.RANDOM KEY IN VIEW STATE SESSION TOKEN, org.apache.myfaces. RANDOM KEY IN CSRF SESSION TOKEN e org.apache.myfaces.RANDOM KEY IN WEBSOCKET SESSION TOKEN para secureRandom.Para as versões 2.3.0 a 2.3.7 do Apache MyFaces Core, atualize os parâmetros de configuração do web.xml para usar o SecureRandom na geração de tokens CSRF, definindo
org.apache.myfaces.RANDOM KEY IN VIEW STATE SESSION TOKEN, org.apache.myfaces. RANDOM KEY IN CSRF SESSION TOKEN e org.apache.myfaces.RANDOM KEY IN WEBSOCKET SESSION TOKEN para secureRandom.Para as versões 2.3-next-M1 a 2.3-next-M4 do Apache MyFaces Core, atualize os parâmetros de configuração do web.xml para usar o SecureRandom na geração de tokens CSRF, definindo
Exploit
Correção
Use of Insufficiently Random Values
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Apache Myfaces Core