PT-2022-3535 · Unknown · Parse Server

Mtrezzapublished + 1 · Publicado 2022-06-17 · Atualizado 2024-03-06 · CVE-2022-31083

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Parse Server anteriores à 4.10.11 e à 5.2.2

Descrição

O problema está relacionado à falta de validação do certificado no adaptador de autenticação do Parse Server para o Apple Game Center. Isso poderia permitir que a autenticação fosse contornada, tornando um certificado falso acessível por meio de determinados domínios da Apple e fornecendo a URL desse certificado em um objeto authData.

Recomendações

Para versões anteriores à 4.10.11 e à 5.2.2, atualize para a versão 4.10.11 ou 5.2.2 para introduzir uma nova propriedade rootCertificateUrl no adaptador de autenticação do Parse Server para o Apple Game Center, que recebe a URL do certificado raiz do certificado de autenticação do Apple Game Center. Certifique-se de que a propriedade rootCertificateUrl seja mantida atualizada, pois o certificado raiz pode mudar a qualquer momento.

Exploit

Correção

Improper Authentication

Improper Certificate Validation

Enumeração de Fraquezas

CWE-287

CWE-295

Identificadores relacionados

BDU:2022-04318

BIT-PARSE-2022-31083

CVE-2022-31083

GHSA-RH9J-F5F8-RVGC

Produtos afetados

Parse Server

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/31xxx/CVE-2022-31083.json · Exploit
• https://github.com/parse-community/parse-server · Nota
• https://github.com/parse-community/parse-server/commit/ba2b0a9cb9a568817a114b132a4c2e0911d76df1 · Correção
• https://github.com/parse-community/parse-server/pull/8054 · Correção
• https://github.com/parse-community/parse-server/security/advisories/GHSA-rh9j-f5f8-rvgc · Nota
• https://github.com/parse-community/parse-server/pull/8054/commits/2084b7c569697a5230e42511799eeac9219db5a9 · Nota
• https://github.com/parse-community/parse-server/pull/8054/commits/0cc299f82e367518f2fe7a53b99f3f801a338cf4 · Nota
• https://osv.dev/vulnerability/GHSA-rh9j-f5f8-rvgc · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-31083 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2022-04318 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2022-31083 · Nota de Segurança
• https://t.me/cibsecurity/44754 · Publicação no Telegram
• https://developer.apple.com/news/?id=stttq465 · Nota
• https://osv.dev/vulnerability/BIT-parse-2022-31083 · Aviso do Fabricante
• https://cybersecurity-help.cz/vdb/SB2022062736 · Nota