PT-2021-23204 · Unknown · Thunderdome

Pupiles · Publicado 2021-11-02 · Atualizado 2024-08-21 · CVE-2021-41232

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Thunderdome anteriores à 1.16.3

Descrição

O problema está relacionado a uma vulnerabilidade de injeção LDAP que afeta instâncias com autenticação LDAP habilitada. O nome de usuário fornecido não é escapado adequadamente, permitindo uma possível exploração. Esta vulnerabilidade já foi corrigida, e estima-se que um número significativo de dispositivos em todo o mundo que utilizam o Thunderdome com autenticação LDAP possa ter sido afetado, embora o número exato não tenha sido especificado. Não há informações sobre incidentes reais em que essa vulnerabilidade tenha sido explorada.

Recomendações

Para versões anteriores à 1.16.3, atualize para a versão 1.16.3 para resolver o problema.

Como solução alternativa temporária, considere desativar o recurso LDAP, caso esteja em uso, para minimizar o risco de exploração.

Correção

Special Elements Injection

Improper Encoding or Escaping of Output

Enumeração de Fraquezas

CWE-90

CWE-74

CWE-116

Identificadores relacionados

CVE-2021-41232

GHSA-26CM-QRC6-MFGJ

GO-2022-0939

Produtos afetados

Thunderdome

Referências · 8

• https://github.com/github/securitylab/issues/464#issuecomment-957094994 · Nota
• https://github.com/StevenWeathers/thunderdome-planning-poker/commit/f1524d01e8a0f2d6c3db5461c742456c692dd8c1 · Correção
• https://github.com/StevenWeathers/thunderdome-planning-poker/security/advisories/GHSA-26cm-qrc6-mfgj · Nota
• https://github.com/StevenWeathers/thunderdome-planning-poker · Nota
• https://osv.dev/vulnerability/CVE-2021-41232 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-41232 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-26cm-qrc6-mfgj · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2022-0939 · Aviso do Fabricante