PT-2022-23200 · Immudb · Immudb
Byop
·
Publicado
2022-11-21
·
Atualizado
2022-12-22
·
CVE-2022-36111
CVSS v3.1
5.4
Média
| Vetor | AV:N/AC:H/PR:H/UI:R/S:C/C:N/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do immudb anteriores à 1.4.1
Descrição
O immudb é um banco de dados com provas e verificações criptográficas integradas. Um servidor immudb malicioso pode fornecer uma prova falsificada que será aceita pelo SDK do cliente, assinando uma transação falsificada e substituindo a genuína. Essa situação não pode ser desencadeada por um servidor immudb genuíno e requer que o cliente execute uma lista específica de operações verificadas, resultando na aceitação de um valor de estado inválido. A vulnerabilidade afeta apenas os SDKs do cliente immudb, e o próprio servidor immudb não é afetado.
Recomendações
Para versões anteriores à 1.4.1, atualize para a versão 1.4.1 para resolver o problema. Como solução alternativa temporária, considere executar um servidor réplica immudb genuíno em um ambiente seguro e sincronizar totalmente todos os bancos de dados com o primário para garantir que o servidor não produza provas inválidas e para verificar se o histórico apresentado pelo servidor não contém transações falsificadas.
Exploit
Correção
Insufficient Verification of Data Authenticity
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Immudb