PT-2024-3925 · Unknown+2 · Mojolicious+2

Robrwo · Publicado 2024-04-07 · Atualizado 2025-04-11 · CVE-2020-36829

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas:

Versões do módulo Mojolicious de 1.74 a 8.64

Descrição:

O problema está relacionado a uma vulnerabilidade de ataque de temporização na função secure compare() do módulo Mojolicious para Perl. Essa vulnerabilidade permite que um invasor manipule entradas desconhecidas, levando a uma discrepância de temporização que pode ser explorada para adivinhar o comprimento de uma sequência secreta. O invasor pode agir remotamente para explorar essa vulnerabilidade.

Recomendações:

Para as versões 1.74 a 8.64, atualize para a versão 8.65 ou posterior para resolver o problema.

Como solução temporária, considere restringir o acesso à função secure compare() até que um patch esteja disponível.

Correção

Enumeração de Fraquezas

CWE-208

Identificadores relacionados

AZL-43936

AZL-45018

BDU:2024-04335

CVE-2020-36829

DLA-3846-1

OESA-2024-1517

OESA-2024-1518

OESA-2024-1519

Produtos afetados

Astra Linux

Mojolicious

Red Os

Referências · 30

• https://github.com/mojolicious/mojo/pull/1601 · Nota
• https://github.com/mojolicious/mojo/issues/1599 · Nota
• https://redos.red-soft.ru/support/secure · Nota
• https://t.me/cvenotify/84858 · Publicação no Telegram
• https://osv.dev/vulnerability/OESA-2024-1519 · Aviso do Fabricante
• https://osv.dev/vulnerability/AZL-45018 · Aviso do Fabricante
• https://xn--80ahaefyxhn.xn--j1afgaq.xn--p1ai/bin/view/%D0%9E%D0%A1%D0%BD%D0%BE%D0%B2%D0%B0/%D0%9E%D0%B1%D0%BD%D0%BE%D0%B2%D0%BB%D0%B5%D0%BD%D0%B8%D1%8F/2.11 · Nota
• https://t.me/cvenotify/118926 · Publicação no Telegram
• https://t.me/cvenotify/75987 · Publicação no Telegram
• https://openeuler.org/en/security/safety-bulletin/detail.html?id=openEuler-SA-2024-1517 · Nota
• https://lists.debian.org/debian-lts-announce/2024/06/msg00025.html · Nota
• https://t.me/cvetracker/20132 · Publicação no Telegram
• https://security-tracker.debian.org/tracker/CVE-2020-36829 · Aviso do Fabricante
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-perl-mojolicious-cve-2020-36829-cve-2021-47208 · Nota
• https://osv.dev/vulnerability/OESA-2024-1518 · Aviso do Fabricante