PT-2021-24471 · Unknown · Encryption Sdk
Publicado
2021-06-01
·
Atualizado
2021-06-01
Nenhuma
Não há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
**Nome do software vulnerável e versões afetadas:
Versões do Encryption SDK anteriores à 1.9
Versões do Encryption SDK anteriores à 2.2
Descrição:
Este problema afeta o Encryption SDK, que oferece suporte a um modo de streaming para mensagens assinadas. O SDK utiliza criptografia AES-GCM e verifica o texto simples antes de liberá-lo aos chamadores. No entanto, alguns chamadores podem confiar nas assinaturas ECDSA para garantir a não repúdio. Sem validar a assinatura ECDSA, um agente com permissões confiáveis do KMS pode ser capaz de criptografar mensagens. A correção introduz uma nova API para streaming de mensagens não assinadas e uma configuração para limitar o número de Chaves de Dados Criptografados processadas por mensagem. Ela também adiciona a rejeição antecipada de mensagens inválidas com certas combinações inválidas de conjunto de algoritmos e dados de cabeçalho.
Recomendações:
Para versões anteriores à 1.9, atualize para a versão 1.9 ou posterior para resolver esses problemas.
Para versões anteriores à 2.2, atualize para a versão 2.2 ou posterior para resolver esses problemas.
Os clientes que utilizam os recursos de streaming do ESDK devem garantir que o código do cliente leia até o final do stream antes de usar o texto simples liberado.
Usar a nova API para streaming e recorrer à API de descriptografia sem streaming para mensagens assinadas impede o uso de qualquer texto simples de dados assinados antes que a assinatura seja validada.
Os usuários que processam mensagens ESDK de fontes não confiáveis devem usar o novo parâmetro de número máximo de chaves de dados criptografados.
Improper Verification of Cryptographic Signature
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Encryption Sdk