PT-2021-22237 · Wal-G · Wal-G

Sehrope · Publicado 2021-08-12 · Atualizado 2022-07-12 · CVE-2021-38599

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do WAL-G anteriores à 1.1

Descrição

O problema ocorre quando é utilizada uma compilação do WAL-G que não utilize a biblioteca libsodium, fazendo com que o programa ignore silenciosamente a chave de criptografia da libsodium e envie backups em texto simples. Esse comportamento é considerado uma violação do Princípio da Menor Surpresa, já que os usuários provavelmente pretendem criptografar todas as atividades relacionadas a arquivos.

Recomendações

Para versões anteriores à 1.1, atualize para a versão 1.1 ou posterior para garantir que os backups sejam criptografados corretamente. Como solução temporária, considere evitar o uso de compilações sem o libsodium até que uma versão segura esteja disponível.

Correção

Improper Check for Exceptional Conditions

Insecure Storage of Sensitive Information

Enumeração de Fraquezas

CWE-754

CWE-922

Identificadores relacionados

CVE-2021-38599

GHSA-VRMR-F2QH-3HHF

Produtos afetados

Wal-G

Referências · 8

• https://github.com/wal-g/wal-g/commit/cadf598e1c2a345915a21a44518c5a4d5401e2e3 · Correção
• https://github.com/wal-g/wal-g/pull/1062 · Correção
• https://github.com/wal-g/wal-g · Nota
• https://github.com/wal-g/wal-g/releases/tag/v1.1 · Nota
• https://t.me/cibsecurity/27246 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-vrmr-f2qh-3hhf · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-38599 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-38599 · Nota de Segurança