PT-2022-17898 · Pidgin+4 · Pidgin+4
Moparisthebest
·
Publicado
2022-04-28
·
Atualizado
2025-03-26
·
CVE-2022-26491
CVSS v2.0
6.2
Média
| Vetor | AV:A/AC:H/Au:N/C:C/I:C/A:N |
Nome do software vulnerável e versões afetadas
Versões do Pidgin anteriores à 2.14.9
Descrição
Um invasor remoto capaz de falsificar respostas DNS pode redirecionar a conexão de um cliente para um servidor malicioso. O cliente realizará a verificação do certificado TLS do nome de domínio malicioso em vez do domínio original do serviço XMPP, permitindo que o invasor assuma o controle da conexão XMPP e obtenha as credenciais do usuário e todo o conteúdo da comunicação. Essa vulnerabilidade pode ser explorada quando o DNSSEC não é utilizado.
Recomendações
Para versões anteriores à 2.14.9, atualize para a versão 2.14.9 ou posterior para resolver o problema. Como solução temporária, considere habilitar o DNSSEC para minimizar o risco de falsificação de DNS. Restrinja o acesso a informações confidenciais e ao conteúdo das comunicações até que a atualização seja aplicada.
Correção
Improper Certificate Validation
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Debian
Pidgin
Red Os
Suse