PT-2021-23079 · Unknown · In-Toto-Golang

Pxp928 · Publicado 2021-09-21 · Atualizado 2024-08-21 · CVE-2021-41087

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.6

Média

Vetor base

AV:L/AC:H/PR:L/UI:N/S:C/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do in-toto-golang anteriores à 0.3.0

Descrição

A vulnerabilidade permite que invasores autenticados, se passando por funcionários, criem atestados que podem contornar regras DISALLOW no mesmo layout. Um invasor com acesso a chaves privadas confiáveis pode emitir um atestado que contenha um artefato não permitido, incluindo semântica de traversal de caminho, como dir/../foo. A exploração dessa vulnerabilidade depende da política específica aplicada.

Recomendações

Para versões anteriores à 0.3.0, atualize para a versão 0.3.0 para resolver a vulnerabilidade. Como solução alternativa temporária, considere restringir o acesso a chaves privadas confiáveis e revisar a política específica aplicada para minimizar o risco de exploração.

Correção

Path traversal

Insufficient Verification of Data Authenticity

Enumeração de Fraquezas

CWE-22

CWE-345

Identificadores relacionados

CVE-2021-41087

GHSA-VRXP-MG9F-HWF3

GO-2022-0936

Produtos afetados

In-Toto-Golang

Referências · 9

• https://github.com/in-toto/in-toto-golang · Nota
• https://github.com/in-toto/in-toto-golang/commit/f2c57d1e0f15e3ffbeac531829c696b72ecc4290 · Correção
• https://github.com/in-toto/in-toto-golang/security/advisories/GHSA-vrxp-mg9f-hwf3 · Nota
• https://osv.dev/vulnerability/GO-2022-0936 · Aviso do Fabricante
• https://t.me/cibsecurity/29205 · Publicação no Telegram
• https://t.me/cvenotify/21931 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-vrxp-mg9f-hwf3 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-41087 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-41087 · Aviso do Fabricante