PT-2021-16989 · Apache · Apache Myfaces Core

Wolfgang Ettlinger

·

Publicado

2021-02-19

·

Atualizado

2021-06-16

·

CVE-2021-26296

CVSS v3.1

7.5

Alta

VetorAV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Apache MyFaces Core, versões 2.2.0 a 2.2.13
Apache MyFaces Core, versões 2.3.0 a 2.3.7
Apache MyFaces Core, versões 2.3-next-M1 a 2.3-next-M4
Apache MyFaces Core versão 3.0.0-RC1
Descrição
O problema decorre do uso de tokens implícitos e explícitos de falsificação de solicitação entre sites (CSRF) com criptografia fraca na configuração padrão. Essa vulnerabilidade torna possível, embora difícil, que um invasor calcule o valor de um token CSRF futuro e o utilize para induzir um usuário a executar ações indesejadas em um aplicativo.
Recomendações
Para as versões 2.2.0 a 2.2.13 do Apache MyFaces Core, atualize os parâmetros de configuração do web.xml para usar o SecureRandom na geração de tokens CSRF, definindo org.apache.myfaces.RANDOM KEY IN VIEW STATE SESSION TOKEN, org.apache.myfaces. RANDOM KEY IN CSRF SESSION TOKEN e org.apache.myfaces.RANDOM KEY IN WEBSOCKET SESSION TOKEN para secureRandom.
Para as versões 2.3.0 a 2.3.7 do Apache MyFaces Core, atualize os parâmetros de configuração do web.xml para usar o SecureRandom na geração de tokens CSRF, definindo org.apache.myfaces.RANDOM KEY IN VIEW STATE SESSION TOKEN, org.apache.myfaces. RANDOM KEY IN CSRF SESSION TOKEN e org.apache.myfaces.RANDOM KEY IN WEBSOCKET SESSION TOKEN para secureRandom.
Para as versões 2.3-next-M1 a 2.3-next-M4 do Apache MyFaces Core, atualize os parâmetros de configuração do web.xml para usar o SecureRandom na geração de tokens CSRF, definindo

Exploit

Correção

Use of Insufficiently Random Values

CSRF

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2021-26296
GHSA-GQ67-PP9W-43GP

Produtos afetados

Apache Myfaces Core