PT-2024-1442 · Mastodon · Mastodon
Arcanicanis
·
Publicado
2024-02-01
·
Atualizado
2024-10-23
·
CVE-2024-23832
CVSS v2.0
9.7
Crítica
| Vetor | AV:N/AC:L/Au:N/C:P/I:C/A:C |
Nome do software vulnerável e versões afetadas
Versões do Mastodon anteriores à 3.5.17
Versões do Mastodon 4.0.x anteriores à 4.0.13
Versões do Mastodon 4.1.x anteriores à 4.1.13
Versões do Mastodon 4.2.x anteriores à 4.2.5
Descrição
O problema está relacionado à validação insuficiente da origem no Mastodon, permitindo que invasores se passem por usuários e assumam o controle de qualquer conta remota. Isso pode ser explorado devido à falta de validação adequada, permitindo que agentes mal-intencionados contornem os procedimentos de autenticação. O número estimado de dispositivos potencialmente afetados em todo o mundo não foi especificado, mas a vulnerabilidade afeta cerca de 12 milhões de usuários. Não há informações sobre incidentes reais em que essa vulnerabilidade tenha sido explorada. Os detalhes técnicos sobre a exploração incluem o fato de que invasores podem explorar a vulnerabilidade para se passar por usuários e assumir o controle de suas contas, mas não são mencionados pontos de extremidade específicos da API, parâmetros vulneráveis ou nomes de funções.
Recomendações
Para versões do Mastodon anteriores à 3.5.17, atualize para a versão 3.5.17 ou posterior.
Para versões do Mastodon 4.0.x anteriores à 4.0.13, atualize para a versão 4.0.13 ou posterior.
Para versões do Mastodon 4.1.x anteriores à 4.1.13, atualize para a versão 4.1.13 ou posterior.
Para versões do Mastodon 4.2.x anteriores à 4.2.5, atualize para a versão 4.2.5 ou posterior.
Como solução temporária, considere restringir o acesso à configuração LDAP para autenticação até que um patch esteja disponível. Monitore a atividade da conta em busca de qualquer comportamento suspeito e atualize o aplicativo Mastodon imediatamente.
Exploit
Correção
Origin Validation Error
Authentication Bypass by Spoofing
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Mastodon