PT-2024-29029 · Apache · Apache Answer

Sam Bull · Publicado 2024-09-25 · Atualizado 2025-07-10 · CVE-2024-40761

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/U:Green

Nome do software vulnerável e versões afetadas

Versões do Apache Answer até a 1.3.5

Descrição

O problema está relacionado à força de criptografia inadequada, em que o valor MD5 do e-mail de um usuário é usado para acessar o Gravatar, levando a um possível vazamento do e-mail do usuário. A recomendação oficial é usar SHA256 em vez disso.

Recomendações

Atualize para a versão 1.4.0, que corrige o problema. Como solução temporária, considere usar SHA256 em vez de MD5 para acessar o Gravatar, a fim de minimizar o risco de exploração.

Correção

Inadequate Encryption Strength

Enumeração de Fraquezas

CWE-326

Identificadores relacionados

CVE-2024-40761

GHSA-48CR-J2CX-MCR8

GO-2024-3158

Produtos afetados

Apache Answer

Referências · 25

• https://github.com/apache/incubator-answer · Nota
• https://github.com/apache/incubator-answer/commit/c3a17046c6c3be1cec16ba49d07d9f7742b7260f · Nota
• http://openwall.com/lists/oss-security/2024/09/27/5 · Nota
• https://github.com/advisories/GHSA-48cr-j2cx-mcr8 · Nota
• http://openwall.com/lists/oss-security/2024/09/25/6 · Nota
• https://t.me/cvenotify/95912 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-48cr-j2cx-mcr8 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2024/09/26/4 · Nota
• https://t.me/cvedetector/6300 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1838845930033889471 · Publicação no Twitter
• http://openwall.com/lists/oss-security/2024/09/26/1 · Nota
• http://openwall.com/lists/oss-security/2024/09/27/4 · Nota
• https://osv.dev/vulnerability/CVE-2024-40761 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2024/09/25/7 · Nota
• http://openwall.com/lists/oss-security/2024/09/27/8 · Nota