PT-2022-21781 · Unknown · Go-Resolver

Rixtoxo · Publicado 2022-09-29 · Atualizado 2023-01-06 · CVE-2022-3347

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.7

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:L

Nome do software vulnerável e versões afetadas

go-resolver (versões afetadas não especificadas)

Descrição

O problema está relacionado a uma validação incorreta do DNSSEC. Um invasor pode fazer com que o pacote relate uma validação bem-sucedida para registros inválidos controlados por ele. Especificamente, as chaves públicas DNSSEC de raiz não são validadas, permitindo que um invasor apresente uma chave de raiz autoassinada e uma cadeia de delegação.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Insufficient Verification of Data Authenticity

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-345

CWE-347

Identificadores relacionados

CVE-2022-3347

GHSA-JR65-GPJ5-CW74

GO-2022-1026

Produtos afetados

Go-Resolver

Referências · 9

• https://github.com/peterzen/goresolver/issues/5#issuecomment-1150214257 · Nota
• https://github.com/peterzen/goresolver · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-3347 · Nota de Segurança
• https://pkg.go.dev/vuln/GO-2022-1026 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-jr65-gpj5-cw74 · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2022-1026 · Aviso do Fabricante
• https://t.me/cvenotify/40884 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-3347 · Aviso do Fabricante
• https://t.me/cvenotify/40857 · Publicação no Telegram