PT-2021-23314 · Cvxopt+2 · Cvxopt+2

Awen-Lio · Publicado 2021-12-13 · Atualizado 2024-09-09 · CVE-2021-41500

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

cvxopt versão 1.2.6 e anteriores

Descrição

O problema está relacionado a uma vulnerabilidade de comparação de strings incompleta em determinadas APIs, especificamente cvxopt.cholmod.diag, cvxopt.cholmod.getfactor, cvxopt.cholmod.solve e cvxopt.cholmod.spsolve. Essa vulnerabilidade permite que invasores realizem ataques de Negação de Serviço (DoS) criando objetos Capsule falsos.

Recomendações

Para as versões 1.2.6 e anteriores, considere desativar o uso das APIs vulneráveis (cvxopt.cholmod.diag, cvxopt.cholmod.getfactor, cvxopt.cholmod.solve e cvxopt.cholmod.spsolve) até que um patch esteja disponível. Restrinja o acesso a essas APIs para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

DoS

Enumeração de Fraquezas

CWE-697

Identificadores relacionados

ALT-PU-2021-3522

ALT-PU-2024-12095

ALT-PU-2024-8938

CVE-2021-41500

GHSA-8RH6-H94M-VJ54

PYSEC-2021-870

Produtos afetados

Alt Linux

Debian

Cvxopt

Referências · 17

• 🔥 https://github.com/cvxopt/cvxopt/issues/193 · Exploit
• https://github.com/cvxopt/cvxopt · Nota
• https://github.com/cvxopt/cvxopt/commit/d5a21cf1da62e4269176384b1ff62edac5579f94 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/cvxopt/PYSEC-2021-870.yaml · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-41500 · Nota de Segurança
• https://t.me/cibsecurity/34238 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-8rh6-h94m-vj54 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2021-870 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/CXTPM3DGVYTYQ54OFCMXZVWVOMR7JM2D · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2021-41500 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2021-41500 · Aviso do Fabricante
• https://github.com/advisories/GHSA-8rh6-h94m-vj54 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-41500 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-41500 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/CXTPM3DGVYTYQ54OFCMXZVWVOMR7JM2D · Aviso do Fabricante