PT-2021-24283 · Crypto2 · Crypto2

CVE-2021-45709 · Publicado 2021-10-08 · Atualizado 2023-08-08

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

crate crypto2 até 08/10/2021 para Rust

Descrição:

Foi descoberta uma falha no crate crypto2 que afeta a criptografia e a descriptografia Chacha20. A implementação não impõe requisitos de alinhamento nas fatias de entrada, assumindo incorretamente um alinhamento de 4 bytes por meio de uma chamada insegura a std::slice::from raw parts mut. Isso viola o contrato e introduz um comportamento indefinido.

Recomendações:

Para o crate crypto2 até 08/10/2021, considere atualizar para uma versão que imponha requisitos de alinhamento nas fatias de entrada para evitar comportamento indefinido durante a criptografia e descriptografia Chacha20.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Buffer Overflow

Enumeração de Fraquezas

CWE-119

Identificadores relacionados

CVE-2021-45709

GHSA-9HFG-PXR6-Q4VP

GHSA-PMCV-MGCF-RVXG

RUSTSEC-2021-0121

Produtos afetados

Crypto2

Referências · 9

• https://github.com/shadowsocks/crypto2 · Nota
• https://github.com/shadowsocks/crypto2/issues/27 · Nota
• https://osv.dev/vulnerability/GHSA-pmcv-mgcf-rvxg · Aviso do Fabricante
• https://rustsec.org/advisories/RUSTSEC-2021-0121.html · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-45709 · Nota de Segurança
• https://raw.githubusercontent.com/rustsec/advisory-db/main/crates/crypto2/RUSTSEC-2021-0121.md · Nota
• https://osv.dev/vulnerability/RUSTSEC-2021-0121 · Aviso do Fabricante
• https://crates.io/crates/crypto2 · Nota
• https://osv.dev/vulnerability/GHSA-9hfg-pxr6-q4vp · Aviso do Fabricante