PT-2021-22964 · Amazon · Aws Iot Device Sdk V2 For Python+4

F-Secure · Publicado 2021-11-22 · Atualizado 2021-12-02 · CVE-2021-40828

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:A/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

AWS IoT Device SDK v2 para Java, versões anteriores à 1.3.3

AWS IoT Device SDK v2 para Python, versões anteriores à 1.5.18

AWS IoT Device SDK v2 para C++, versões anteriores à 1.12.7

AWS IoT Device SDK v2 para Node.js, versões anteriores à 1.5.3

Descrição

As conexões inicializadas pelo AWS IoT Device SDK v2 não verificavam o nome do host do certificado do servidor durante o handshake TLS ao substituir Autoridades Certificadoras (CA) em seus armazenamentos de confiança no Windows. Esse problema foi corrigido nas versões 0.9.13 e posteriores do submódulo aws-c-io.

Recomendações

Para o AWS IoT Device SDK v2 para Java em versões anteriores à 1.3.3, atualize para a versão 1.3.3 ou posterior.

Para o AWS IoT Device SDK v2 para Python em versões anteriores à 1.5.18, atualize para a versão 1.5.18 ou posterior.

Para o AWS IoT Device SDK v2 para C++ em versões anteriores à 1.12.7, atualize para a versão 1.12.7 ou posterior.

Para o AWS IoT Device SDK v2 para Node.js em versões anteriores à 1.5.3, atualize para a versão 1.5.3 ou posterior.

Correção

Improper Certificate Validation

Enumeração de Fraquezas

CWE-295

Identificadores relacionados

CVE-2021-40828

GHSA-94JQ-Q5V2-76WJ

PYSEC-2021-861

Produtos afetados

Aws Iot Device Sdk V2 For C++

Aws Iot Device Sdk V2 For Java

Aws Iot Device Sdk V2 For Node.Js

Aws Iot Device Sdk V2 For Python

Aws-C-Io

Referências · 16

• https://github.com/aws/aws-iot-device-sdk-python-v2 · Nota
• https://github.com/aws/aws-iot-device-sdk-python-v2/commit/fd4c0ba04b35eab9e20c635af5548fcc5a92d8be · Nota
• https://github.com/aws/aws-iot-device-sdk-js-v2 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/awsiotsdk/PYSEC-2021-861.yaml · Nota
• https://github.com/aws/aws-iot-device-sdk-js-v2/commit/4be41394f1aee979e6f4b012fcb01eecabd0c08d · Nota
• https://github.com/aws/aws-iot-device-sdk-cpp-v2 · Nota
• https://github.com/aws/aws-iot-device-sdk-java-v2 · Nota
• https://github.com/aws/aws-iot-device-sdk-java-v2/commit/67950ad2a02f2f9355c310b69dc9226b017f32f2 · Nota
• https://github.com/awslabs/aws-c-io · Nota
• https://osv.dev/vulnerability/CVE-2021-40828 · Aviso do Fabricante
• https://t.me/cibsecurity/32833 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-40828 · Nota de Segurança
• https://t.me/cvenotify/23646 · Publicação no Telegram
• https://github.com/advisories/GHSA-94jq-q5v2-76wj · Nota
• https://osv.dev/vulnerability/PYSEC-2021-861 · Aviso do Fabricante