PT-2024-20923 · Steve · Steve

Tano-Coppoletta · Publicado 2024-02-12 · Atualizado 2025-04-25 · CVE-2024-25407

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

SteVe versão 3.6.0

Descrição

O problema está relacionado ao fato de o SteVe utilizar IDs de transação previsíveis ao receber uma solicitação StartTransaction. Isso pode permitir que invasores provoquem uma negação de serviço (DoS) ao usar as IDs de transação previsíveis para encerrar outras transações.

A solicitação StartTransaction é o ponto de extremidade onde esse problema é observado.

Recomendações

Para o SteVe versão 3.6.0, como solução temporária, considere restringir o acesso à solicitação StartTransaction até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

DoS

Enumeração de Fraquezas

CWE-331

Identificadores relacionados

CVE-2024-25407

Produtos afetados

Steve

Referências · 7

• https://github.com/steve-community/steve/issues/1296 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-25407 · Nota de Segurança
• https://twitter.com/CVEnew/status/1757222738979090591 · Publicação no Twitter
• https://t.me/cvenotify/71175 · Publicação no Telegram
• https://t.me/cvenotify/119823 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-25407 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1757297464820871379 · Publicação no Twitter