PT-2021-19287 · Vaadin · Com.Vaadin:Flow-Server+1

Xhelal Likaj · Publicado 2021-04-19 · Atualizado 2021-04-30 · CVE-2021-31406

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.0

Média

Vetor base

AV:L/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

com.vaadin:flow-server, versões 3.0.0 a 5.0.3

com.vaadin:fusion-endpoint, versão 6.0.0

Descrição

O problema está relacionado a uma comparação de tempo não constante de tokens CSRF no manipulador de solicitações do endpoint. Isso permite que um invasor adivinhe um token de segurança para endpoints Fusion por meio de um ataque de temporização.

Recomendações

Para as versões 3.0.0 a 5.0.3 do com.vaadin:flow-server, atualize para uma versão fora desse intervalo para mitigar o risco.

Para a versão 6.0.0 do com.vaadin:fusion-endpoint, atualize para uma versão diferente da 6.0.0 para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso ao manipulador de solicitações do endpoint vulnerável até que um patch esteja disponível.

Correção

Side Channel Attack

Enumeração de Fraquezas

CWE-208

CWE-203

Identificadores relacionados

CVE-2021-31406

GHSA-9H6G-6MXG-VVP4

GHSA-P7JQ-V8JP-J424

Produtos afetados

Com.Vaadin:Flow-Server

Com.Vaadin:Fusion-Endpoint

Referências · 9

• https://github.com/vaadin/flow/pull/10157 · Correção
• https://github.com/vaadin/flow/security/advisories/GHSA-p7jq-v8jp-j424 · Nota
• https://github.com/vaadin/platform · Nota
• https://github.com/vaadin/platform/security/advisories/GHSA-9h6g-6mxg-vvp4 · Nota
• https://vaadin.com/security/cve-2021-31406 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-9h6g-6mxg-vvp4 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-31406 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-31406 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-p7jq-v8jp-j424 · Aviso do Fabricante