PT-2021-4278 · Unknown · Aaugustin Websockets

Publicado 2021-06-06 · Atualizado 2022-05-12 · CVE-2021-33880

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.2

Alta

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Biblioteca aaugustin websockets em versões anteriores à 9.1

Descrição

O problema está relacionado a uma discrepância observável no tempo de resposta na biblioteca aaugustin websockets quando a autenticação HTTP Basic está habilitada usando basic auth protocol factory(credentials=...). Essa discrepância pode permitir que um invasor adivinhe uma senha por meio de um ataque de temporização, levando potencialmente ao acesso não autorizado a dados confidenciais.

Recomendações

Para versões anteriores à 9.1, atualize para a versão 9.1 ou posterior para resolver o problema. Como solução temporária, considere desativar a função basic auth protocol factory com o parâmetro credentials até que um patch esteja disponível. Restrinja o acesso à função basic auth protocol factory para minimizar o risco de exploração. Evite usar o parâmetro credentials no endpoint de autenticação afetado até que o problema seja resolvido.

Correção

Side Channel Attack

Enumeração de Fraquezas

CWE-203

CWE-208

Identificadores relacionados

BDU:2021-04886

CVE-2021-33880

GHSA-8CH4-58QP-G3MP

PYSEC-2021-95

Produtos afetados

Aaugustin Websockets

Referências · 17

• https://github.com/aaugustin/websockets/commit/547a26b685d08cac0aa64e5e65f7867ac0ea9bc0 · Correção
• https://github.com/aaugustin/websockets · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/websockets/PYSEC-2021-95.yaml · Nota
• https://t.me/cvenotify/15657 · Publicação no Telegram
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-33880 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2021-33880 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-33880 · Aviso do Fabricante
• https://oracle.com/security-alerts/cpujan2022.html · Correção
• https://bdu.fstec.ru/vul/2021-04886 · Nota de Segurança
• https://oracle.com/security-alerts/cpuapr2022.html · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2021-33880 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2021-33880 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2021-33880 · Nota de Segurança
• https://github.com/advisories/GHSA-8ch4-58qp-g3mp · Nota
• https://ubuntu.com/security/CVE-2021-33880 · Aviso do Fabricante