PT-2025-13406 · Tough · Tough

Adamkorcz + 1 · Publicado 2025-03-27 · Atualizado 2025-03-29 · CVE-2025-2885

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.7

Média

Vetor base

AV:N/AC:H/AT:N/PR:H/UI:P/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas versões do tough anteriores a 0.20.0

Descrição O problema decorre da falta de validação do número da versão dos metadados root, permitindo que um ator forneça um número de versão arbitrário ao cliente. Isso pode levar o cliente a confiar em uma função root desatualizada ou rotacionada, potencialmente confiando em conteúdo associado a uma função root anterior. Os usuários devem atualizar para uma versão que incorpore as novas correções para prevenir este problema.

Recomendações Para versões anteriores a 0.20.0, atualize para a versão 0.20.0 ou posterior do tough e garanta que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções.

Correção

Enumeração de Fraquezas

CWE-1288

Identificadores relacionados

CVE-2025-2885

GHSA-5VMP-M5V2-HX47

Produtos afetados

Tough

Referências · 12

• https://github.com/awslabs/tough · Nota
• https://github.com/awslabs/tough/releases/tag/tough-v0.20.0 · Correção
• https://github.com/awslabs/tough/security/advisories/GHSA-5vmp-m5v2-hx47 · Aviso do Fabricante
• https://github.com/awslabs/tough/commit/0eeb60aefe27f00b65730634b788a1aafb8bf3c6 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-2885 · Nota de Segurança
• https://t.me/cvetracker/20117 · Publicação no Telegram
• https://aws.amazon.com/security/security-bulletins/AWS-2025-007 · Aviso do Fabricante
• https://t.me/cvedetector/21340 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-2885 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1905811747383947478 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-5vmp-m5v2-hx47 · Aviso do Fabricante
• https://t.me/cvenotify/116644 · Publicação no Telegram