PT-2022-16861 · Chainsafe · @Chainsafe/Libp2P-Noise

Highwemeetagain · Publicado 2022-03-17 · Atualizado 2022-03-23 · CVE-2022-24759

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do @chainsafe/libp2p-noise anteriores à 4.1.2

Versões do @chainsafe/libp2p-noise anteriores à 5.0.3

Descrição

O problema está relacionado à validação incorreta de assinaturas durante o processo de handshake na implementação do protocolo noise. Isso pode permitir que um invasor do tipo man-in-the-middle se faça passar por outros pares e faça com que esses pares sejam banidos.

Recomendações

Para versões anteriores à 4.1.2, atualize para a versão 4.1.2 para receber um patch.

Para versões anteriores à 5.0.3, atualize para a versão 5.0.3 para receber um patch.

Como solução temporária, considere restringir o acesso ao processo de handshake até que um patch esteja disponível.

Exploit

Correção

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-347

Identificadores relacionados

CVE-2022-24759

GHSA-J3FF-XP6C-6GCC

Produtos afetados

@Chainsafe/Libp2P-Noise

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/24xxx/CVE-2022-24759.json · Exploit
• https://github.com/ChainSafe/js-libp2p-noise/releases/tag/v5.0.3 · Correção
• https://github.com/ChainSafe/js-libp2p-noise/pull/130 · Correção
• https://github.com/ChainSafe/js-libp2p-noise/security/advisories/GHSA-j3ff-xp6c-6gcc · Nota
• https://t.me/cibsecurity/39154 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-24759 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-24759 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-j3ff-xp6c-6gcc · Aviso do Fabricante
• https://github.com/ChainSafe · Nota