PT-2021-9436 · Nitrokey · Nitrokey Fido U2F

CVE-2020-12061 · Publicado 2021-05-21 · Atualizado 2022-10-05

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do firmware do Nitrokey FIDO U2F até a 1.1

Descrição

Uma falha na comunicação entre o microcontrolador e o elemento seguro permite que um invasor intercepte e obtenha segredos armazenados no microcontrolador, possibilitando a manipulação arbitrária do firmware.

Recomendações

Para versões até a 1.1, como solução temporária, considere restringir o acesso à comunicação entre o microcontrolador e o elemento seguro até que uma correção esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-522

Identificadores relacionados

CVE-2020-12061

Produtos afetados

Nitrokey Fido U2F

Referências · 6

• 🔥 https://eprint.iacr.org/2021/640.pdf · Exploit
• https://github.com/Nitrokey/nitrokey-fido-u2f-firmware/commits/master · Correção
• https://github.com/Nitrokey/nitrokey-fido-u2f-firmware/releases · Nota
• https://cwe.mitre.org/data/definitions/523.html · Nota
• https://osv.dev/vulnerability/CVE-2020-12061 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-12061 · Nota de Segurança