PT-2021-18628 · Friendica · Friendica

Mrpetovan · Publicado 2021-04-05 · Atualizado 2024-08-03 · CVE-2021-30141

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do Friendica até 2021.01

Descrição

A vulnerabilidade permite que usuários anônimos acessem o recurso settings/userexport, o que pode levar a um consumo excessivo de memória e a tentativas de acesso a um deslocamento de matriz com um valor do tipo nulo. No entanto, o fornecedor observa que ainda é necessário um cookie de autenticação válido para utilizar o recurso.

Recomendações

Para as versões do Friendica até 2021.01, considere restringir o acesso à rota settings/userexport apenas a usuários conectados, como uma solução temporária para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Memory Leak

Enumeração de Fraquezas

CWE-401

Identificadores relacionados

CVE-2021-30141

Produtos afetados

Friendica

Referências · 7

• 🔥 https://github.com/friendica/friendica/issues/10110 · Exploit
• https://github.com/friendica/friendica/pull/10113/commits/acbcc56754121ba080eac5b6fdf69e64ed7fe453 · Correção
• https://t.me/cvenotify/12687 · Publicação no Telegram
• https://t.me/cvenotify/88856 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-30141 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-30141 · Aviso do Fabricante
• https://t.me/cvenotify/84570 · Publicação no Telegram