PT-2024-19601 · Unknown · Openslides

Mdickopp · Publicado 2024-09-25 · Atualizado 2025-06-13 · CVE-2024-22893

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

OpenSlides versão 4.0.15

Descrição

A vulnerabilidade permite que invasores obtenham informações sobre o hash da senha por meio de um ataque de temporização, uma vez que a função de verificação de senha no OpenSlides apresenta tempo de execução dependente do conteúdo. Isso significa que a função leva tempos diferentes para comparar os hashes de senha, podendo revelar informações confidenciais.

Recomendações

Para o OpenSlides versão 4.0.15, considere implementar uma função de comparação de tempo constante para hashes de senha a fim de prevenir ataques de temporização. Como solução temporária, restrinja o acesso à função de verificação de senha até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Improper Privilege Management

Enumeração de Fraquezas

CWE-269

Identificadores relacionados

CVE-2024-22893

PYSEC-2024-290

Produtos afetados

Openslides

Referências · 9

• https://osv.dev/vulnerability/PYSEC-2024-290 · Aviso do Fabricante
• https://t.me/cvedetector/6325 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-22893 · Nota de Segurança
• https://t.me/cvenotify/95986 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1838954481788104955 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1838983624143642759 · Publicação no Twitter
• https://gist.github.com/mdickopp/10e4a4ba3d7ded8315a1613ee7f2541e · Nota
• https://osv.dev/vulnerability/CVE-2024-22893 · Aviso do Fabricante
• https://t.me/cvenotify/125642 · Publicação no Telegram