PT-2021-5797 · Lynx+8 · Lynx+8

Ariadne Conill + 2 · Publicado 2021-03-15 · Atualizado 2026-02-09 · CVE-2021-38165

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões 2.8.9 e anteriores do Lynx

Descrição

O problema está relacionado ao tratamento incorreto do subcomponente userinfo de um URI, permitindo que invasores remotos descubram credenciais em texto simples, uma vez que estas podem aparecer nos dados SNI ou nos cabeçalhos HTTP. Isso pode permitir que um invasor remoto acesse dados confidenciais.

Recomendações

Para as versões 2.8.9 e anteriores, atualize para uma versão que corrija o problema de tratamento do subcomponente userinfo, a fim de impedir que credenciais em texto simples sejam expostas nos dados SNI ou nos cabeçalhos HTTP.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-522

Identificadores relacionados

ALSA-2022:2129

ALT-PU-2025-4725

BDU:2022-00255

CESA-2022_2129

CVE-2021-38165

DLA-2736-1

DSA-4953-1

MGASA-2021-0422

OESA-2021-1326

RHSA-2022:2129

RHSA-2022_2129

USN-4800-1

Produtos afetados

Alt Linux

Almalinux

Astra Linux

Centos

Linuxmint

Lynx

Red Hat

Red Os

Ubuntu

Referências · 51

• https://github.com/w3c/libwww/blob/f010b4cc58d32f34b162f0084fe093f7097a61f0/Library/src/HTParse.c#L118 · Nota
• https://t.me/cvenotify/20009 · Publicação no Telegram
• https://lists.nongnu.org/archive/html/lynx-dev/2021-08/msg00002.html · Nota
• https://vulners.com/cve/CVE-2021-38165 · Nota
• https://t.me/cvenotify/18856 · Publicação no Telegram
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/VKNK7GQBJBUBMJVNKVC7RTCYWUYMFJQW · Aviso do Fabricante
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti/uyazvimost-lynx-cve-2021-38165-7.3 · Nota
• https://lynx.invisible-island.net/current/CHANGES.html · Nota
• https://openwall.com/lists/oss-security/2021/08/07/11 · Nota
• https://osv.dev/vulnerability/OESA-2021-1326 · Aviso do Fabricante
• https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-38165 · Aviso do Fabricante
• https://osv.dev/vulnerability/ALSA-2022:2129 · Aviso do Fabricante
• https://bugs.mageia.org/show_bug.cgi?id=29342 · Nota
• https://osv.dev/vulnerability/MGASA-2021-0422 · Aviso do Fabricante