PT-2025-26818 · Cyberduck+1 · Cyberduck+1

Andreas Boll + 1 · Publicado 2025-06-25 · Atualizado 2025-06-30 · CVE-2025-41256

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.4

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas: Versões do Cyberduck até a 9.1.6 Versões do Mountain Duck até a 4.17.5

Descrição: O problema está relacionado ao tratamento inadequado do pinning de certificado TLS para certificados não confiáveis, como certificados autoassinados, no Cyberduck e no Mountain Duck. A impressão digital do certificado é armazenada utilizando SHA-1, o que é considerado fraco.

Recomendações: Para as versões do Cyberduck até a 9.1.6, considere atualizar para uma versão que trate adequadamente o pinning de certificado TLS. Para as versões do Mountain Duck até a 4.17.5, considere atualizar para uma versão que trate adequadamente o pinning de certificado TLS. Como solução temporária, considere desabilitar o uso de SHA-1 para impressões digitais de certificado tanto no Cyberduck quanto no Mountain Duck até que um patch esteja disponível.

Exploit

Correção

Enumeração de Fraquezas

CWE-328

Identificadores relacionados

CVE-2025-41256

GHSA-688C-VJRC-84RV

Produtos afetados

Cyberduck

Mountain Duck

Referências · 9

• 🔥 https://github.com/iterate-ch/cyberduck/security/advisories/GHSA-688c-vjrc-84rv · Exploit
• 🔥 https://github.com/sbaresearch/advisories/tree/public/2025/SBA-ADV-20250325-02_Cyberduck_Mountain_Duck_Weak_Hash · Exploit
• https://t.me/cvetracker/27005 · Publicação no Telegram
• https://twitter.com/cracbot/status/1939640106023084500 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1937809340456476677 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-41256 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1937831756129865884 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-41256 · Aviso do Fabricante
• https://t.me/cvenotify/126612 · Publicação no Telegram