PT-2021-8044 · Nimble+2 · Nimble+2
Tintinweb
·
Publicado
2021-02-04
·
Atualizado
2024-06-15
·
CVE-2021-21374
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Nimble anteriores à 1.2.10
Versões do Nimble anteriores à 1.4.4
Descrição
O problema está relacionado à função
nimble refresh do gerenciador de pacotes Nimble para a linguagem de programação Nim. É causado pela falta de verificação dos pacotes baixados devido a um erro no procedimento de autenticação de certificados. Isso pode permitir que um invasor remoto realize um ataque man-in-the-middle ou execute código arbitrário baixando pacotes maliciosos.Recomendações
Para versões do Nimble anteriores à 1.2.10, atualize para a versão 1.2.10 ou posterior para resolver o problema.
Para versões do Nimble anteriores à 1.4.4, atualize para a versão 1.4.4 ou posterior para resolver o problema.
Como solução alternativa temporária, considere desativar a função
nimble refresh até que um patch esteja disponível.Restrinja o acesso ao
httpClient para minimizar o risco de exploração.Exploit
Correção
Improper Certificate Validation
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Nimble
Suse