PT-2024-16985 · Unknown · Central Dogma

Minwoox · Publicado 2024-02-01 · Atualizado 2024-02-09 · CVE-2024-1143

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.3

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Central Dogma anteriores à 0.64.1

Descrição

Uma vulnerabilidade de Cross-Site Scripting (XSS) no Central Dogma pode permitir o vazamento de sessões de usuário e a subsequente burla da autenticação. A vulnerabilidade visa o RelayState da Security Assertion Markup Language (SAML), permitindo que agentes mal-intencionados vazem sessões de usuário e comprometam os mecanismos de autenticação. Isso pode facilitar o acesso não autorizado a recursos confidenciais.

Recomendações

Para versões do Central Dogma anteriores à 0.64.1, atualize para a versão 0.64.1 ou posterior para mitigar o risco associado à contornamento da autenticação. Atualmente, não há soluções alternativas viáveis disponíveis para essa vulnerabilidade; portanto, recomenda-se aplicar o patch fornecido imediatamente.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-1143

GHSA-34Q3-P352-C7Q8

GHSA-QFV2-3P2F-VG48

Produtos afetados

Central Dogma

Referências · 15

• https://github.com/line/centraldogma · Nota
• https://github.com/line/centraldogma/security/advisories/GHSA-34q3-p352-c7q8 · Aviso do Fabricante
• https://github.com/line/centraldogma/commit/8edcf913b88101aff70008156b0881850e005783 · Nota
• https://osv.dev/vulnerability/GHSA-34q3-p352-c7q8 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-1143 · Nota de Segurança
• https://twitter.com/Komodosec/status/1754478758554447902 · Publicação no Twitter
• https://twitter.com/the_yellow_fall/status/1754426820383130055 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-1143 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1753306644815982907 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-qfv2-3p2f-vg48 · Aviso do Fabricante
• https://twitter.com/mstfknn/status/1754447609224147086 · Publicação no Twitter
• https://twitter.com/fridaysecurity/status/1754428095686132076 · Publicação no Twitter
• https://t.me/cvenotify/70170 · Publicação no Telegram
• https://t.me/cvenotify/70163 · Publicação no Telegram
• https://t.me/cvenotify/70161 · Publicação no Telegram