PT-2022-16887 · Wire · Wire-Server+2
Posix
·
Publicado
2022-04-20
·
Atualizado
2022-05-03
·
CVE-2022-24799
CVSS v3.1
9.6
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do wire-webapp anteriores à 2022-03-30-production.0
Descrição
O problema está relacionado à falta de escapamento adequado no “destacamento de código” do Markdown no wire-webapp, o que permite a injeção e execução de código HTML arbitrário e, consequentemente, também de JavaScript. Se um usuário receber e visualizar uma mensagem maliciosa, código arbitrário será injetado e executado no contexto da vítima, permitindo que o invasor assuma o controle total da conta do usuário. Clientes wire-desktop conectados a uma versão vulnerável do wire-webapp também estão sujeitos a esse ataque.
Recomendações
Para versões do wire-webapp anteriores à 2022-03-30-production.0, atualize para a tag do Docker 2022-03-30-production.0-v0.29.2-0-d144552 ou para o wire-server 2022-03-30 (chart/4.8.0) para resolver o problema. Como solução temporária, considere restringir o acesso ao recurso de “destaque de código” do Markdown até que a atualização seja aplicada.
Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Wire-Desktop
Wire-Server
Wire-Webapp