PT-2021-22966 · Amazon Web Services · Aws Iot Device Sdk V2 For Python+4

F-Secure · Publicado 2021-11-22 · Atualizado 2021-12-02 · CVE-2021-40830

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.3

Alta

Vetor base

AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

AWS IoT Device SDK v2 para Java, versões anteriores à 1.5.0 em Linux/Unix

AWS IoT Device SDK v2 para Python, versões anteriores à 1.6.1 em Linux/Unix

AWS IoT Device SDK v2 para C++, versões anteriores à 1.12.7 em Linux/Unix

AWS IoT Device SDK v2 para Node.js versões anteriores à 1.5.3 no Linux/Unix

Amazon Web Services AWS-C-IO 0.10.4 no Linux/Unix

Descrição

O problema decorre do fato de o AWS IoT Device SDK v2 anexar uma Autoridade Certificadora (CA) fornecida pelo usuário às CAs raiz, em vez de substituí-la em sistemas Unix. Isso permite que os handshakes TLS sejam bem-sucedidos se o par puder ser verificado a partir da CA fornecida pelo usuário ou do armazenamento de confiança padrão do sistema. Invasores com acesso aos armazenamentos de confiança de um host ou que possam comprometer uma autoridade certificadora já presente no armazenamento de confiança do host podem usar isso para contornar o CA pinning, potencialmente falsificando o broker MQTT e descartando ou respondendo com os dados do invasor. No entanto, eles não podem encaminhar esses dados para o broker MQTT sem as chaves privadas do usuário.

Recomendações

Para o AWS IoT Device SDK v2 para Java em versões anteriores à 1.5.0, atualize para a versão 1.5.0 ou posterior.

Para o AWS IoT Device SDK v2 para Python em versões anteriores à 1.6.1, atualize para a versão 1.6.1 ou posterior.

Para o AWS IoT Device SDK v2 para C++ em versões anteriores à 1.12.7, atualize para a versão 1.12.7 ou posterior.

Para o AWS IoT Device SDK v2 para Node.js em versões anteriores à 1.5.3, atualize para a versão 1.5.3 ou posterior.

Para o Amazon Web Services AWS-C-IO 0.10.4, certifique-se de que o `aws

Correção

Improper Certificate Validation

Enumeração de Fraquezas

CWE-295

Identificadores relacionados

CVE-2021-40830

GHSA-C4RH-4376-GFF4

PYSEC-2021-863

Produtos afetados

Aws Iot Device Sdk V2 For C++

Aws Iot Device Sdk V2 For Java

Aws Iot Device Sdk V2 For Node.Js

Aws Iot Device Sdk V2 For Python

Aws-C-Io

Referências · 16

• https://github.com/aws/aws-iot-device-sdk-python-v2 · Nota
• https://github.com/aws/aws-iot-device-sdk-python-v2/commit/0450ce68add7e3d05c6d781ecdac953c299c053a · Nota
• https://github.com/aws/aws-iot-device-sdk-js-v2 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/awsiotsdk/PYSEC-2021-863.yaml · Nota
• https://github.com/aws/aws-iot-device-sdk-js-v2/commit/53a36e3ac203291494120604d416b6de59177cac · Nota
• https://github.com/aws/aws-iot-device-sdk-cpp-v2 · Nota
• https://github.com/aws/aws-iot-device-sdk-java-v2 · Nota
• https://github.com/aws/aws-iot-device-sdk-java-v2/commit/67950ad2a02f2f9355c310b69dc9226b017f32f2 · Nota
• https://github.com/awslabs/aws-c-io · Nota
• https://osv.dev/vulnerability/CVE-2021-40830 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-c4rh-4376-gff4 · Aviso do Fabricante
• https://t.me/cibsecurity/32832 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-40830 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2021-863 · Aviso do Fabricante
• https://t.me/cvenotify/23644 · Publicação no Telegram