PT-2024-2574 · Mastodon · Mastodon
Thisismissem
·
Publicado
2024-02-14
·
Atualizado
2024-12-18
·
CVE-2024-25619
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do Mastodon anteriores à 3.5.18
Versões do Mastodon anteriores à 4.0.14
Versões do Mastodon anteriores à 4.1.14
Versões do Mastodon anteriores à 4.2.6
Descrição
O problema está relacionado ao tratamento incorreto de tokens de acesso quando um aplicativo OAuth é destruído. Isso poderia ter permitido que um aplicativo continuasse a escutar o streaming após ter sido destruído, representando potencialmente riscos de segurança para os usuários. O problema decorre da configuração
dependent: delete all usada pelo Doorkeeper, que impede que o callback after commit seja acionado. Como resultado, o servidor de streaming não é informado de que os tokens de acesso foram destruídos. O impacto é considerado insignificante, uma vez que o aplicativo afetado precisava ser de propriedade do usuário.Recomendações
Para versões do Mastodon anteriores à 3.5.18, atualize para a versão 3.5.18 ou posterior.
Para versões do Mastodon anteriores à 4.0.14, atualize para a versão 4.0.14 ou posterior.
Para versões do Mastodon anteriores à 4.1.14, atualize para a versão 4.1.14 ou posterior.
Para versões do Mastodon anteriores à 4.2.6, atualize para a versão 4.2.6 ou posterior.
Exploit
Correção
Insufficient Session Expiration
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Mastodon