PT-2022-16855 · Zulip · Zulip

Alexmv · Publicado 2022-03-16 · Atualizado 2022-03-22 · CVE-2022-24751

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.8

Média

Vetor base

AV:N/AC:M/Au:N/C:P/I:P/A:N

Nome do software vulnerável e versões afetadas

Versões 4.0 a 4.10 do Zulip

Descrição

O Zulip é um aplicativo de bate-papo em grupo de código aberto que apresenta uma vulnerabilidade relacionada a uma condição de corrida durante a desativação de contas. Esse problema pode permitir que um usuário desativado continue tendo acesso, em casos raros, caso haja acesso simultâneo por parte do próprio usuário que está sendo desativado.

Recomendações

Para as versões 4.0 a 4.10 do Zulip, atualize para a versão 4.11 na ramificação 4.x ou para a versão 5.0-rc1 na ramificação 5.x para resolver o problema. A atualização para uma versão corrigida desativará quaisquer sessões armazenadas em cache que possam ter vazado devido a esse bug.

Exploit

Correção

Race Condition

Enumeração de Fraquezas

CWE-362

Identificadores relacionados

CVE-2022-24751

GHSA-6V98-M5X5-PHQJ

Produtos afetados

Zulip

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/24xxx/CVE-2022-24751.json · Exploit
• https://github.com/zulip/zulip/security/advisories/GHSA-6v98-m5x5-phqj · Nota
• https://github.com/zulip/zulip/commit/62ba8e455d8f460001d9fb486a6dabfd1ed67717 · Correção
• https://github.com/zulip/zulip/commit/e6eace307ef435eec3395c99247155efed9219e4 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2022-24751 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-24751 · Aviso do Fabricante
• https://t.me/cibsecurity/39060 · Publicação no Telegram