PT-2022-7848 · Unknown · Sha256Crypt+1

Publicado 2022-02-19 · Atualizado 2022-03-03 · CVE-2016-20013

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do sha256crypt e do sha512crypt até a 0.6

Descrição

A vulnerabilidade permite que invasores provoquem uma negação de serviço devido ao consumo excessivo de CPU. Isso ocorre porque o tempo de execução do algoritmo é proporcional ao quadrado do comprimento da senha.

Recomendações

Para versões até a 0.6, considere restringir o comprimento máximo da senha para minimizar o risco de consumo de CPU até que uma correção esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-770

Identificadores relacionados

CVE-2016-20013

Produtos afetados

Sha256Crypt

Sha512Crypt

Referências · 10

• 🔥 https://pthree.org/2018/05/23/do-not-use-sha256crypt-sha512crypt-theyre-dangerous · Exploit
• 🔥 https://akkadia.org/drepper/SHA-crypt.txt · Exploit
• https://cve.org/CVERecord?id=CVE-2016-20013 · Nota de Segurança
• https://ubuntu.com/security/CVE-2016-20013 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2016-20013 · Nota de Segurança
• https://t.me/cibsecurity/37818 · Publicação no Telegram
• https://t.me/cvenotify/27509 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2016-20013 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2016-20013 · Aviso do Fabricante
• https://twitter.com/solardiz/status/795601240151457793 · Nota