PT-2021-22967 · Amazon Web Services · Aws Iot Device Sdk V2 For Python+4

F-Secure · Publicado 2021-11-22 · Atualizado 2021-12-02 · CVE-2021-40831

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.3

Alta

Vetor base

AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

AWS IoT Device SDK v2 para Java, versões anteriores à 1.5.0 no macOS

AWS IoT Device SDK v2 para Python, versões anteriores à 1.7.0 no macOS

AWS IoT Device SDK v2 para C++, versões anteriores à 1.14.0 no macOS

AWS IoT Device SDK v2 para Node.js, versões anteriores à 1.6.0 no macOS

Amazon Web Services AWS-C-IO 0.10.7 no macOS

Descrição

O AWS IoT Device SDK v2 para Java, Python, C++ e Node.js acrescenta uma Autoridade Certificadora (CA) fornecida pelo usuário às CAs raiz, em vez de substituí-la em sistemas macOS. Além disso, a validação SNI também não é habilitada quando a CA foi “substituída”. Isso permite que invasores com acesso aos armazenamentos de confiança de um host ou que possam comprometer uma autoridade certificadora já presente no armazenamento de confiança do host contornem o CA pinning. Um invasor poderia então se passar pelo broker MQTT, descartar tráfego e/ou responder com os dados do invasor, mas não seria capaz de encaminhar esses dados para o broker MQTT, pois ainda precisaria das chaves privadas do usuário para se autenticar junto ao broker MQTT.

Recomendações

Para o AWS IoT Device SDK v2 para Java em versões anteriores à 1.5.0 no macOS, atualize para a versão 1.5.0 ou posterior.

Para o AWS IoT Device SDK v2 para Python em versões anteriores à 1.7.0 no macOS, atualize para a versão 1.7.0 ou posterior.

Para o AWS IoT Device SDK v2 para C++ em versões anteriores à 1.14.0 no macOS, atualize para a versão 1.14.0 ou posterior.

Para o AWS IoT Device SDK v2 para Node.js em versões anteriores à 1.6.0 no macOS, atualize para a versão 1.6.0

Correção

Improper Certificate Validation

Enumeração de Fraquezas

CWE-295

Identificadores relacionados

CVE-2021-40831

GHSA-J3F7-7RMC-6WQJ

PYSEC-2021-864

Produtos afetados

Aws Iot Device Sdk V2 For C++

Aws Iot Device Sdk V2 For Java

Aws Iot Device Sdk V2 For Node.Js

Aws Iot Device Sdk V2 For Python

Aws-C-Io

Referências · 16

• https://github.com/aws/aws-iot-device-sdk-python-v2 · Nota
• https://github.com/aws/aws-iot-device-sdk-python-v2/commit/5aef82573202309063eb540b72cee0e565f85a2d · Nota
• https://github.com/aws/aws-iot-device-sdk-js-v2 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/awsiotsdk/PYSEC-2021-864.yaml · Nota
• https://github.com/aws/aws-iot-device-sdk-js-v2/commit/22f1989f5bdb0bdd9c912a5a2d255ee6c0854f68 · Nota
• https://github.com/aws/aws-iot-device-sdk-cpp-v2 · Nota
• https://github.com/aws/aws-iot-device-sdk-java-v2 · Nota
• https://github.com/aws/aws-iot-device-sdk-java-v2/commit/46375e9b1bfb34109b9ff3b1eff9c770f9daa186 · Nota
• https://github.com/awslabs/aws-c-io · Nota
• https://github.com/advisories/GHSA-j3f7-7rmc-6wqj · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-40831 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-40831 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-j3f7-7rmc-6wqj · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2021-864 · Aviso do Fabricante
• https://t.me/cvenotify/23643 · Publicação no Telegram