PT-2024-29656 · Unknown · Biscuit-Rust

Geal · Publicado 2024-07-31 · Atualizado 2025-11-14 · CVE-2024-41949

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

biscuit-rust (versões afetadas não especificadas)

Descrição

A vulnerabilidade diz respeito ao biscuit-rust, a implementação em Rust do Biscuit, um token de autenticação e autorização para arquiteturas de microsserviços. Uma solicitação de bloco de terceiros falsificada por um usuário mal-intencionado pode induzir a autoridade terceirizada a gerar um datalog confiando no par de chaves errado. Isso ocorre porque blocos de terceiros podem ser gerados sem transferir o token inteiro para a autoridade de terceiros, usando uma solicitação ThirdPartyBlock que inclui a chave pública do bloco anterior e as chaves públicas que fazem parte da tabela de símbolos do token.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Improper Privilege Management

Enumeração de Fraquezas

CWE-269

Identificadores relacionados

CVE-2024-41949

GHSA-47CQ-PC2V-3RMP

GHSA-P9W4-585H-G3C7

GHSA-RGQV-MWC3-C78M

HSEC-2024-0009

Produtos afetados

Biscuit-Rust

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/41xxx/CVE-2024-41949.json · Exploit
• https://github.com/biscuit-auth/biscuit/security/advisories/GHSA-rgqv-mwc3-c78m · Nota
• https://github.com/biscuit-auth/biscuit-rust/security/advisories/GHSA-p9w4-585h-g3c7 · Nota
• https://github.com/biscuit-auth/biscuit-rust · Nota
• https://github.com/haskell/security-advisories · Nota
• https://github.com/biscuit-auth/biscuit-haskell/security/advisories/GHSA-47cq-pc2v-3rmp · Nota
• https://github.com/biscuit-auth/biscuit-haskell/pull/93 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-41949 · Nota de Segurança
• https://t.me/cvedetector/2292 · Publicação no Telegram
• https://raw.githubusercontent.com/haskell/security-advisories/refs/heads/generated/osv-export · Nota
• https://osv.dev/vulnerability/CVE-2024-41949 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-p9w4-585h-g3c7 · Aviso do Fabricante
• https://osv.dev/vulnerability/HSEC-2024-0009 · Aviso do Fabricante
• https://haskell.github.io/security-advisories · Nota
• https://t.me/cvenotify/90040 · Publicação no Telegram