PT-2022-3819 · Mozilla+9 · Thunderbird+9
Johannes König
·
Publicado
2022-04-05
·
Atualizado
2022-12-29
·
CVE-2022-1197
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Thunderbird anteriores à 91.8
Descrição
O problema está relacionado a erros na atualização da assinatura digital OpenPGP, o que pode permitir que um invasor remoto realize um ataque de spoofing. Especificamente, ao importar uma chave revogada que especificava o comprometimento da chave como motivo da revogação, o Thunderbird não atualizou a cópia existente da chave, mantendo-a como não revogada.
Recomendações
Para versões anteriores à 91.8, atualize para a versão 91.8 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso de assinaturas digitais OpenPGP até que um patch esteja disponível. Evite importar chaves revogadas que especifiquem comprometimento da chave como motivo da revogação nas versões afetadas.
Exploit
Correção
Improper Certificate Validation
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Astra Linux
Centos
Linuxmint
Red Hat
Rocky Linux
Suse
Thunderbird
Ubuntu