PT-2024-24934 · Unknown+1 · Python Social Auth+1

Bradenmacdonald · Publicado 2024-04-24 · Atualizado 2024-06-15 · CVE-2024-32879

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Python Social Auth anteriores à 5.4.1

Descrição

O problema surge devido à classificação padrão que não distingue maiúsculas de minúsculas nos bancos de dados MySQL ou MariaDB, fazendo com que os IDs de autenticação de terceiros não sejam sensíveis a maiúsculas e minúsculas. Isso pode levar à correspondência entre IDs diferentes. O problema foi resolvido por uma correção lançada na versão 5.4.1.

Recomendações

Para versões anteriores à 5.4.1, atualize para a versão 5.4.1 para resolver o problema.

Como solução alternativa temporária, considere alterar a classificação do campo afetado, por exemplo, executando o comando SQL: ALTER TABLE social auth usersocialauth MODIFY uid varchar(255) COLLATE utf8 bin;

Exploit

Correção

Enumeração de Fraquezas

CWE-303

CWE-178

Identificadores relacionados

CVE-2024-32879

GHSA-2GR8-3WC7-XHJ3

OPENSUSE-SU-2024:14036-1

RHSA-2024:3781

RHSA-2024:6428

Produtos afetados

Debian

Python Social Auth

Referências · 17

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/32xxx/CVE-2024-32879.json · Exploit
• https://github.com/python-social-auth/social-app-django · Nota
• https://github.com/python-social-auth/social-app-django/security/advisories/GHSA-2gr8-3wc7-xhj3 · Nota
• https://github.com/python-social-auth/social-app-django/pull/566 · Nota
• https://github.com/python-social-auth/social-app-django/commit/31c3e0c7edb187004d8abbde7e9c4f7ef9098138 · Nota
• https://cve.org/CVERecord?id=CVE-2024-32879 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2024-32879 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-2gr8-3wc7-xhj3 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2024-32879 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2024-32879 · Nota
• https://osv.dev/vulnerability/openSUSE-SU-2024:14036-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2024-32879 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1783222573267882415 · Publicação no Twitter
• https://t.me/cvenotify/77971 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-32879 · Nota de Segurança