PT-2024-24606 · Tillitis · Tillitis Tkey Signer Device Application

Volokitinss · Publicado 2024-04-23 · Atualizado 2024-04-24 · CVE-2024-32482

Positive Technologies (AI Summary) · Pt

CVSS v3.1

2.2

Baixa

Vetor base

AV:L/AC:H/PR:L/UI:R/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões anteriores à 1.0.0 do aplicativo do dispositivo de assinatura Tillitis TKey

Descrição

Foi identificada uma vulnerabilidade no aplicativo do dispositivo de assinatura Tillitis TKey, uma ferramenta de assinatura ed25519, que permite a divulgação de partes dos dados do TKey na memória RAM através da interface USB. Para explorar a vulnerabilidade, um invasor precisa usar um aplicativo cliente personalizado e tocar no TKey. Nenhum segredo é divulgado.

Recomendações

Para versões anteriores à 1.0.0, atualize para a versão 1.0.0 para receber uma correção.

No momento, não há informações sobre outras soluções alternativas para este problema.

Exploit

Correção

Out of bounds Read

Time Of Check To Time Of Use

Enumeração de Fraquezas

CWE-125

CWE-367

Identificadores relacionados

CVE-2024-32482

GHSA-FRQC-62HV-379P

Produtos afetados

Tillitis Tkey Signer Device Application

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/32xxx/CVE-2024-32482.json · Exploit
• https://github.com/tillitis/tkey-device-signer/security/advisories/GHSA-frqc-62hv-379p · Nota
• https://twitter.com/CVEnew/status/1782826996822864372 · Publicação no Twitter
• https://t.me/cvenotify/77809 · Publicação no Telegram
• https://bugbounty.tillitis.se/security-bulletins/tillitis-security-bulletin-240115-1 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-32482 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-32482 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1782870935101423999 · Publicação no Twitter