PT-2021-19818 · Common · Common

Oliver-Jung · Publicado 2021-07-26 · Atualizado 2021-08-13 · CVE-2021-32631

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do pacote Common anteriores ao commit 3b96cb0293d3443b870351945f41d7d55cb34b53

Descrição

O problema está relacionado à verificação inadequada da assinatura dos JSON Web Tokens (JWTs) no pacote Common. Isso permite que um invasor falsifique um JWT válido, o que pode levar à contornamento da autenticação.

Recomendações

Para versões anteriores ao commit 3b96cb0293d3443b870351945f41d7d55cb34b53, atualize para uma versão que inclua o patch, especificamente o commit 3b96cb0293d3443b870351945f41d7d55cb34b53.

Como solução alternativa temporária, considere usar o método parseClaimsJws para verificar corretamente a assinatura de um JWT até que o patch seja aplicado.

Correção

Authentication Bypass by Spoofing

Enumeração de Fraquezas

CWE-290

Identificadores relacionados

CVE-2021-32631

GHSA-FJQ8-896W-PV28

Produtos afetados

Common

Referências · 7

• https://github.com/nimble-platform/common/commit/12197a755bd524559bf4e16475595a2c6fcd34db · Correção
• https://github.com/nimble-platform/common/security/advisories/GHSA-fjq8-896w-pv28 · Nota
• https://github.com/nimble-platform/common/commit/3b96cb0293d3443b870351945f41d7d55cb34b53 · Correção
• https://github.com/nimble-platform/common/commit/a59ad46733912a5580530e39cac0e6ebc83cc563 · Correção
• https://t.me/cibsecurity/26498 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-32631 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-32631 · Nota de Segurança