PT-2021-3878 · Red Hat · Wildfly Elytron
Guilherme De Almeida Suckevicz
·
Publicado
2021-06-30
·
Atualizado
2022-05-24
·
CVE-2021-3642
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do Wildfly Elytron anteriores à 1.10.14.Final
Versões do Wildfly Elytron anteriores à 1.15.5.Final
Versões do Wildfly Elytron anteriores à 1.16.1.Final
Descrição
Foi encontrada uma falha no Wildfly Elytron em que o ScramServer pode estar suscetível a um ataque de temporização (Timing Attack) se estiver habilitado. A maior ameaça deste problema é a confidencialidade. Esta falha está relacionada à implementação da classe ScramServer, o que pode levar à divulgação de informações devido a inconsistências. A exploração deste problema pode permitir que um invasor remoto obtenha acesso não autorizado a informações protegidas.
Recomendações
Para versões anteriores à 1.10.14.Final, atualize para a versão 1.10.14.Final ou posterior.
Para versões anteriores à 1.15.5.Final, atualize para a versão 1.15.5.Final ou posterior.
Para versões anteriores à 1.16.1.Final, atualize para a versão 1.16.1.Final ou posterior.
Como solução alternativa temporária, considere desativar o recurso ScramServer até que um patch esteja disponível.
Correção
Side Channel Attack
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Wildfly Elytron