PT-2022-17898 · Pidgin+4 · Pidgin+4

Moparisthebest

·

Publicado

2022-04-28

·

Atualizado

2025-03-26

·

CVE-2022-26491

CVSS v2.0

6.2

Média

VetorAV:A/AC:H/Au:N/C:C/I:C/A:N
Nome do software vulnerável e versões afetadas
Versões do Pidgin anteriores à 2.14.9
Descrição
Um invasor remoto capaz de falsificar respostas DNS pode redirecionar a conexão de um cliente para um servidor malicioso. O cliente realizará a verificação do certificado TLS do nome de domínio malicioso em vez do domínio original do serviço XMPP, permitindo que o invasor assuma o controle da conexão XMPP e obtenha as credenciais do usuário e todo o conteúdo da comunicação. Essa vulnerabilidade pode ser explorada quando o DNSSEC não é utilizado.
Recomendações
Para versões anteriores à 2.14.9, atualize para a versão 2.14.9 ou posterior para resolver o problema. Como solução temporária, considere habilitar o DNSSEC para minimizar o risco de falsificação de DNS. Restrinja o acesso a informações confidenciais e ao conteúdo das comunicações até que a atualização seja aplicada.

Correção

Improper Certificate Validation

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

ALT-PU-2023-5431
ALT-PU-2023-5433
ALT-PU-2023-5434
ALT-PU-2023-5437
BDU:2025-03801
CVE-2022-26491
DLA-3043-1
MGASA-2022-0208
OPENSUSE-SU-2022_1665-1
OPENSUSE-SU-2024:12036-1
ROSA-SA-2023-2186
SUSE-SU-2022:1664-1
SUSE-SU-2022:1665-1
SUSE-SU-2022:1693-1
SUSE-SU-2022_1664-1
SUSE-SU-2022_1665-1
SUSE-SU-2022_1693-1

Produtos afetados

Alt Linux
Debian
Pidgin
Red Os
Suse