PT-2022-10686 · Unknown · Opencryptoki

Guilherme De Almeida Suckevicz · Publicado 2022-08-23 · Atualizado 2023-07-10 · CVE-2021-3798

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

openCryptoki (versões afetadas não especificadas)

Descrição

Foi encontrada uma falha no openCryptoki, na qual o token de software openCryptoki não valida a chave EC quando ela é criada via C CreateObject ou quando C DeriveKey é usado com dados públicos ECDH. Isso pode permitir que um usuário mal-intencionado extraia a chave privada realizando um ataque de curva inválida.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

AZL-10659

CVE-2021-3798

Produtos afetados

Opencryptoki

Referências · 11

• https://github.com/opencryptoki/opencryptoki/commit/4e3b43c3d8844402c04a66b55c6c940f965109f0 · Correção
• https://github.com/opencryptoki/opencryptoki/pull/402 · Correção
• https://osv.dev/vulnerability/CVE-2021-3798 · Aviso do Fabricante
• https://bugzilla.redhat.com/show_bug.cgi?id=1990591 · Correção
• https://cve.org/CVERecord?id=CVE-2021-3798 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-3798 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-3798 · Nota de Segurança
• https://access.redhat.com/security/cve/CVE-2021-3798 · Nota
• https://bugs.launchpad.net/ubuntu/+source/opencryptoki/+bug/1928780 · Nota
• https://ubuntu.com/security/CVE-2021-3798 · Aviso do Fabricante
• https://osv.dev/vulnerability/AZL-10659 · Aviso do Fabricante