PT-2025-13410 · Tough · Tough

Adamkorcz + 1 · Publicado 2025-03-27 · Atualizado 2025-03-29 · CVE-2025-2887

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.7

Média

Vetor base

AV:N/AC:H/AT:N/PR:H/UI:P/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas versões do tough anteriores a 0.20.0

Descrição O problema ocorre durante um rollback de alvo quando o cliente falha em detectar o rollback para alvos delegados, potencialmente causando a busca de um alvo de uma fonte incorreta e a alteração do conteúdo do alvo. Isso pode levar o cliente a confiar e baixar alvos desatualizados que deveria rejeitar.

Recomendações Para versões anteriores a 0.20.0, atualize para a versão 0.20.0 ou posterior do tough e garanta que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções.

Correção

Enumeração de Fraquezas

CWE-1025

Identificadores relacionados

CVE-2025-2887

GHSA-Q6R9-R9PW-4CF7

Produtos afetados

Tough

Referências · 12

• https://github.com/awslabs/tough · Nota
• https://github.com/awslabs/tough/releases/tag/tough-v0.20.0 · Correção
• https://github.com/awslabs/tough/security/advisories/GHSA-q6r9-r9pw-4cf7 · Aviso do Fabricante
• https://github.com/awslabs/tough/commit/3345151a87c358d1ce43aeb7e8b3ebea5ebdbab4 · Nota
• https://t.me/cvedetector/21344 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-q6r9-r9pw-4cf7 · Aviso do Fabricante
• https://t.me/cvetracker/20119 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-2887 · Nota de Segurança
• https://t.me/cvenotify/116646 · Publicação no Telegram
• https://aws.amazon.com/security/security-bulletins/AWS-2025-007 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1905811745639141390 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-2887 · Aviso do Fabricante