PT-2024-10931 · Unknown · Nats Server

Publicado 2024-05-14 · Atualizado 2024-07-08 · CVE-2021-32026

Positive Technologies (AI Summary) · Pt

Nome do software vulnerável e versões afetadas

Versões do nats-server anteriores à 2.2.3

Descrição

O problema diz respeito a falhas criptográficas no nats-server, nas quais o uso de sinalizadores da CLI para definir parâmetros TLS substitui as configurações padrão restritas de conjuntos de criptografia, permitindo potencialmente que os clientes negociem conjuntos de criptografia TLS inesperados. Isso pode comprometer a segurança, especialmente em relação a invasores locais. O número estimado de dispositivos potencialmente afetados não foi especificado.

Recomendações

Para versões anteriores à 2.2.3, atualize o servidor NATS para corrigir o problema.

Como solução alternativa temporária, considere usar um arquivo de configuração para definir os parâmetros TLS em vez de opções de linha de comando.

Identificadores relacionados

CVE-2021-32026

GHSA-JJ54-5Q2M-Q7PJ

GO-2024-2850

Produtos afetados

Nats Server

Referências · 8

• https://github.com/nats-io/nats-server · Nota
• https://github.com/nats-io/nats-server/commit/ffccc2e1bd7aa2466bd9e631e976bfd7ca46f225 · Nota
• https://github.com/nats-io/nats-server/security/advisories/GHSA-jj54-5q2m-q7pj · Nota
• https://osv.dev/vulnerability/GO-2024-2850 · Aviso do Fabricante
• https://twitter.com/oktsec/status/1810390791577084346 · Publicação no Twitter
• https://advisories.nats.io/CVE/CVE-2021-32026.txt · Nota
• https://advisories.nats.io · Nota
• https://osv.dev/vulnerability/GHSA-jj54-5q2m-q7pj · Aviso do Fabricante