PT-2024-4195 · Unknown+2 · Python-Jose+2

Emmharnuherl · Publicado 2024-04-25 · Atualizado 2024-09-03 · CVE-2024-33663

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

python-jose versões 3.3.0 e anteriores

Descrição

O problema está relacionado à confusão de algoritmos entre as chaves ECDSA do OpenSSH e outros formatos de chave no componente python-jose. Está associado à definição de uma lista negra de prefixos para chaves públicas ECDSA do OpenSSH. A exploração desse problema pode permitir que um invasor remoto obtenha acesso não autorizado às chaves públicas ECDSA do OpenSSH.

Recomendações

Para as versões 3.3.0 e anteriores do python-jose, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Use of a Broken Cryptographic Algorithm

Enumeração de Fraquezas

CWE-327

Identificadores relacionados

BDU:2024-04681

CVE-2024-33663

ECHO-04E0-8CCC-E285

GHSA-6C5P-J8VQ-PQHJ

OPENSUSE-SU-2024:0118-1

OPENSUSE-SU-2024:13928-1

PYSEC-2024-232

RHSA-2024:6428

Produtos afetados

Debian

Red Os

Python-Jose

Referências · 27

• 🔥 https://vicarius.io/vsociety/posts/algorithm-confusion-in-python-jose-cve-2024-33663 · Exploit
• https://github.com/mpdavis/python-jose/issues/346 · Aviso do Fabricante
• https://github.com/mpdavis/python-jose · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/python-jose/PYSEC-2024-232.yaml · Nota
• https://github.com/danigm/python-jose/commit/9320fed50992f09ca1977d722eddd5c953c301a8 · Nota
• https://suse.com/security/cve/CVE-2024-33663 · Nota
• https://t.me/cvenotify/82503 · Publicação no Telegram
• https://redos.red-soft.ru/support/secure · Nota
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-python3-jose-cve-2024-33663-cve-2024-33664 · Nota
• https://ubuntu.com/security/CVE-2024-33663 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2024-04681 · Nota de Segurança
• https://bugzilla.suse.com/1223417 · Nota
• https://osv.dev/vulnerability/PYSEC-2024-232 · Aviso do Fabricante
• https://osv.dev/vulnerability/openSUSE-SU-2024:13928-1 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-33663 · Nota de Segurança