PT-2022-16013 · Python · Random+1

Arjun Sharda + 1 · Publicado 2022-12-06 · Atualizado 2022-12-08 · CVE-2022-23472

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.2

Alta

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Passeo anteriores à 1.0.5

Descrição

O Passeo é um gerador de senhas em Python de código aberto que, nas versões anteriores à 1.0.5, utiliza a biblioteca random do Python para a seleção de valores aleatórios. A biblioteca random do Python não é adequada para fins de segurança devido ao seu gerador de números aleatórios não criptograficamente seguro, o que pode permitir que um invasor motivado adivinhe as senhas geradas.

Recomendações

Para versões anteriores à 1.0.5, atualize para a versão 1.0.5, que corrige esse problema usando a biblioteca secrets. Também é recomendável alterar todas as senhas geradas com o Passeo antes da versão 1.0.5.

Exploit

Correção

Enumeração de Fraquezas

CWE-338

Identificadores relacionados

CVE-2022-23472

GHSA-MHHF-VGWH-FW9H

PYSEC-2022-42997

Produtos afetados

Random

Secrets

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/23xxx/CVE-2022-23472.json · Exploit
• https://github.com/pypa/advisory-database/tree/main/vulns/passeo/PYSEC-2022-42997.yaml · Nota
• https://github.com/ArjunSharda/Passeo/security/advisories/GHSA-mhhf-vgwh-fw9h · Nota
• https://github.com/ArjunSharda/Passeo · Nota
• https://github.com/ArjunSharda/Passeo/commit/8caa798b6bc4647dca59b2376204b6dc6176361a · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2022-23472 · Nota de Segurança
• https://t.me/cibsecurity/54080 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-23472 · Aviso do Fabricante
• https://peps.python.org/pep-0506 · Nota
• https://osv.dev/vulnerability/PYSEC-2022-42997 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-mhhf-vgwh-fw9h · Aviso do Fabricante