PT-2024-29334 · Filestash · Filestash

Bingyu Li · Publicado 2024-07-31 · Atualizado 2025-03-18 · CVE-2024-41256

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.5

Alta

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

filestash versão 0.4

Descrição

O problema está relacionado à função ShareProofVerifier no filestash, que ignora o processo de verificação do certificado TLS ao enviar códigos de verificação por e-mail. Isso poderia permitir que invasores acessassem dados confidenciais por meio de um ataque man-in-the-middle.

Recomendações

Para o filestash versão 0.4, considere desativar a função ShareProofVerifier até que uma correção esteja disponível para impor a verificação do certificado TLS. Restrinja o acesso a dados confidenciais para minimizar o risco de exploração.

Correção

Improper Certificate Validation

Enumeração de Fraquezas

CWE-295

Identificadores relacionados

CVE-2024-41256

GHSA-MPVX-WHPP-99XJ

GO-2024-3035

Produtos afetados

Filestash

Referências · 13

• https://github.com/mickael-kerjean/filestash · Nota
• https://github.com/mickael-kerjean/filestash/blob/master/server/model/share.go#L132 · Nota
• https://github.com/mickael-kerjean/filestash/issues/709 · Nota
• https://osv.dev/vulnerability/CVE-2024-41256 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-41256 · Nota de Segurança
• https://t.me/cvedetector/2175 · Publicação no Telegram
• https://osv.dev/vulnerability/GO-2024-3035 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-mpvx-whpp-99xj · Aviso do Fabricante
• https://t.me/cvenotify/90747 · Publicação no Telegram
• https://pkg.go.dev/vuln/GO-2024-3035 · Nota
• https://gist.github.com/nyxfqq/a6da3fe6128b978ea1aaa5df639d5f98 · Nota
• https://github.com/advisories/GHSA-mpvx-whpp-99xj · Nota
• https://t.me/cvenotify/115217 · Publicação no Telegram