PT-2024-29340 · Casdoor · Casdoor

Yuexi Zhang · Publicado 2024-08-01 · Atualizado 2024-08-16 · CVE-2024-41264

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

casdoor versão 1.636.0

Descrição

Uma falha no casdoor permite que invasores obtenham informações confidenciais por meio do método ssh.InsecureIgnoreHostKey(), que desativa a verificação da chave do host. Esse método é utilizado em github.com/casdoor/casdoor.

Recomendações

Para a versão 1.636.0 do casdoor, considere desativar o uso do método ssh.InsecureIgnoreHostKey() para impedir a contornamento da verificação da chave do host até que um patch esteja disponível. Restrinja o acesso a informações confidenciais para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Information Disclosure

Improper Certificate Validation

Enumeração de Fraquezas

CWE-200

CWE-297

CWE-295

Identificadores relacionados

CVE-2024-41264

GHSA-67FW-W8F2-88WP

GO-2024-3026

Produtos afetados

Casdoor

Referências · 12

• https://github.com/casdoor/casdoor · Nota
• https://github.com/casdoor/casdoor/blob/v1.636.0/object/viaSSHDialer.go · Nota
• https://gist.github.com/nyxfqq/33ceaccbc9b05d439a944c2b55fa1c0f · Nota
• https://osv.dev/vulnerability/CVE-2024-41264 · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2024-3026 · Aviso do Fabricante
• https://pkg.go.dev/vuln/GO-2024-3026 · Nota
• https://osv.dev/vulnerability/GHSA-67fw-w8f2-88wp · Aviso do Fabricante
• https://t.me/cvedetector/2251 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-41264 · Nota de Segurança
• https://t.me/cvenotify/88262 · Publicação no Telegram
• https://github.com/advisories/GHSA-67fw-w8f2-88wp · Nota
• https://t.me/cvenotify/90935 · Publicação no Telegram