PT-2025-13411 · Tough · Tough

Adamkorcz + 1 · Publicado 2025-03-27 · Atualizado 2025-03-29 · CVE-2025-2888

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.7

Média

Vetor base

AV:N/AC:H/AT:N/PR:H/UI:P/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas versões do tough anteriores a 0.20.0

Descrição O problema surge durante um rollback de snapshot quando o cliente armazena em cache incorretamente os metadados de timestamp. Isso resulta em uma falha na validação do timestamp de atualização, impedindo atualizações futuras até que o cache seja limpo. O problema ocorre porque o cliente persiste metadados de timestamp inválidos em seu cache, o que pode fazer com que ele identifique incorretamente metadados de timestamp válidos como tendo sofrido rollback. Isso impede o cliente de consumir atualizações válidas.

Recomendações Para versões anteriores a 0.20.0, atualize para a versão 0.20.0 ou posterior do tough e assegure-se de que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções.

Correção

Enumeração de Fraquezas

CWE-1025

Identificadores relacionados

CVE-2025-2888

GHSA-76G3-38JV-WXH4

Produtos afetados

Tough

Referências · 11

• https://github.com/awslabs/tough · Nota
• https://github.com/awslabs/tough/releases/tag/tough-v0.20.0 · Correção
• https://github.com/awslabs/tough/security/advisories/GHSA-76g3-38jv-wxh4 · Aviso do Fabricante
• https://github.com/awslabs/tough/commit/9b400e1c8b7d6b9ab8009104fa7fe5884db05f18 · Nota
• https://osv.dev/vulnerability/GHSA-76g3-38jv-wxh4 · Aviso do Fabricante
• https://t.me/cvedetector/21345 · Publicação no Telegram
• https://aws.amazon.com/security/security-bulletins/AWS-2025-007 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1905811744691228926 · Publicação no Twitter
• https://t.me/cvetracker/20120 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-2888 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-2888 · Nota de Segurança