PT-2021-19856 · Tenvoy · Tenvoy

Publicado 2021-06-16 · Atualizado 2021-06-28 · CVE-2021-32685

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do tEnvoy anteriores à 7.0.3

Descrição

O método verifyWithMessage de tEnvoyNaClSigningKey sempre retorna true para qualquer assinatura cujo hash SHA-512 coincida com o hash SHA-512 da mensagem, mesmo que a assinatura seja inválida. Este problema foi corrigido na versão 7.0.3.

Recomendações

Para versões anteriores à 7.0.3, atualize para a versão 7.0.3 imediatamente para resolver este problema.

Como solução alternativa temporária, no tenvoy.js, na definição do método verifyWithMessage dentro da classe tEnvoyNaClSigningKey, certifique-se de que a chamada da instrução de retorno para this.verify termine em .verified.

Verifique novamente todas as assinaturas que foram verificadas anteriormente com o método verifyWithMessage vulnerável.

Correção

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-347

Identificadores relacionados

CVE-2021-32685

GHSA-5W25-HXP5-H8C9

GHSA-7R96-8G3X-G36M

Produtos afetados

Tenvoy

Referências · 9

• https://github.com/TogaTech/tEnvoy/commit/a121b34a45e289d775c62e58841522891dee686b · Correção
• https://github.com/TogaTech/tEnvoy · Nota
• https://github.com/TogaTech/tEnvoy/security/advisories/GHSA-7r96-8g3x-g36m · Nota
• https://github.com/TogaTech/tEnvoy/releases/tag/v7.0.3 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-32685 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-5w25-hxp5-h8c9 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-7r96-8g3x-g36m · Aviso do Fabricante
• https://t.me/cvenotify/16424 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-32685 · Aviso do Fabricante