PT-2024-24345 · Digital Bazaar · @Digitalbazaar/Zcap

Publicado 2024-04-10 · Atualizado 2024-04-10 · CVE-2024-31995

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do @digitalbazaar/zcap anteriores à 9.0.1

Descrição

O problema ocorre ao invocar uma capacidade com profundidade de cadeia igual a 2, em que a propriedade expires não é verificada adequadamente em relação à data atual ou a outro parâmetro date. Isso pode permitir invocações fora do período de tempo originalmente previsto. No entanto, um zcap ainda não pode ser invocado sem a utilização do material da chave privada associada.

Recomendações

Para versões anteriores à 9.0.1, atualize para a versão 9.0.1 para corrigir a verificação de validade.

Como solução alternativa temporária, é possível revogar um zcap a qualquer momento.

Exploit

Correção

Insufficient Session Expiration

Enumeração de Fraquezas

CWE-613

Identificadores relacionados

CVE-2024-31995

GHSA-HP8H-7X69-4WMV

Produtos afetados

@Digitalbazaar/Zcap

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/31xxx/CVE-2024-31995.json · Exploit
• https://github.com/digitalbazaar/zcap · Nota
• https://github.com/digitalbazaar/zcap/security/advisories/GHSA-hp8h-7x69-4wmv · Nota
• https://github.com/digitalbazaar/zcap/commit/261eea040109b6e25159c88d8ed49d3c37f8fcfe · Nota
• https://github.com/digitalbazaar/zcap/commit/55f8549c80124b85dfb0f3dcf83f2c63f42532e5 · Nota
• https://github.com/digitalbazaar/zcap/pull/82 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-31995 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-31995 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1778219492285231319 · Publicação no Twitter
• https://t.me/cvenotify/76334 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-hp8h-7x69-4wmv · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1778263591969513602 · Publicação no Twitter