PT-2025-20927 · Unknown+1 · Openpubkey+1

Ethan Heilman · Publicado 2025-05-13 · Atualizado 2025-05-23 · CVE-2025-3757

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas: Versões do OpenPubkey anteriores a 0.10.0

Descrição: A vulnerabilidade permite que um JWS especialmente criado contorne a verificação de assinatura.

Recomendações: Para versões anteriores a 0.10.0, atualize para a versão 0.10.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o uso da função de verificação de JWS até que uma correção esteja disponível. Evite usar a verificação de JWS em transações sensíveis até que o problema seja resolvido.

Correção

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-347

CWE-305

Identificadores relacionados

CVE-2025-3757

GHSA-537F-GXGM-3JJQ

GO-2025-3679

OPENSUSE-SU-2025:15135-1

Produtos afetados

Debian

Openpubkey

Referências · 29

• https://github.com/openpubkey/openpubkey/security/advisories/GHSA-537f-gxgm-3jjq · Nota
• https://github.com/openpubkey/openpubkey · Nota
• https://suse.com/security/cve/CVE-2025-46721 · Nota
• https://osv.dev/vulnerability/CVE-2025-3757 · Aviso do Fabricante
• https://osv.dev/vulnerability/openSUSE-SU-2025:15135-1 · Aviso do Fabricante
• https://lists.opensuse.org/archives/list/[e-mail]/thread/QOPKRPL75SZMLT3YSQAZEDWH7RBRXGJK · Nota
• https://security-tracker.debian.org/tracker/CVE-2025-3757 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2025-3757 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2025-4658 · Nota
• https://suse.com/security/cve/CVE-2025-46815 · Nota
• https://osv.dev/vulnerability/GO-2025-3679 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2024-52290 · Nota
• https://suse.com/security/cve/CVE-2025-46331 · Nota
• https://t.me/cvetracker/23756 · Publicação no Telegram
• https://t.me/cvenotify/123495 · Publicação no Telegram