PT-2021-23082 · Wire · Wire

CVE-2021-41093 · Publicado 2021-10-04 · Atualizado 2022-08-12

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Wire anteriores à 3.86

Descrição

A falha permite que um invasor assuma o controle de uma conta alterando o endereço de e-mail caso obtenha um token de acesso antigo, mas válido. Isso é possível devido a medidas de segurança insuficientes implementadas antes da correção na versão 3.86. A nova versão introduz um novo endpoint que exige um cookie de autenticação, reforçando a segurança.

Recomendações

Para versões anteriores à 3.86, atualize para a versão 3.86 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso às configurações da conta até que a atualização seja aplicada.

Correção

Incorrect Authorization

Improper Authorization

Enumeração de Fraquezas

CWE-863

CWE-285

Identificadores relacionados

CVE-2021-41093

GHSA-6F4C-PHFJ-M255

GHSA-9RM2-W6PQ-333M

GHSA-P354-6R3M-G4XR

GHSA-W727-5F74-49XJ

Produtos afetados

Wire

Referências · 7

• https://github.com/wireapp/wire-server/security/advisories/GHSA-9rm2-w6pq-333m · Nota
• https://github.com/wireapp/wire-ios/commit/b0e7bb3b13dd8212032cb46e32edf701694687c7 · Correção
• https://github.com/wireapp/wire-ios/security/advisories/GHSA-6f4c-phfj-m255 · Nota
• https://osv.dev/vulnerability/CVE-2021-41093 · Aviso do Fabricante
• ❌ https://github.com/wireapp/wire-ios-sync-engine/security/advisories/GHSA-w727-5f74-49xj · Nota, Deleted
• ❌ https://github.com/wireapp/wire-ios-transport/security/advisories/GHSA-p354-6r3m-g4xr · Nota, Deleted
• https://nvd.nist.gov/vuln/detail/CVE-2021-41093 · Nota de Segurança