PT-2025-42399
CVE-2025-62375
·
تاريخ النشر
2025-10-15
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
go-witness الإصدارات 0.8.6 وما قبلها
witness الإصدارات 0.9.2 وما قبلها
الوصف
يقوم مُصدق AWS في go-witness و witness بالتحقق بشكل غير سليم من وثائق هوية مثيلات EC2 الخاصة بـ AWS. قد يُعتبر التحقق ناجحًا بشكل غير صحيح في حالة عدم وجود التوقيع أو كونه فارغًا، وكذلك عند فشل التحقق من توقيع RSA. يتضمن أداة المصادقة شهادة عامة عالمية واحدة قديمة من AWS ولا تأخذ في الاعتبار الشهادات الأحدث الخاصة بكل منطقة والتي تم إصدارها في عام 2024، مما يجعل من الصعب اكتشاف المستندات المزورة دون وجود بيانات إضافية موثوقة خاصة بالمنطقة. يمكن للمهاجم القادر على توفير أو اعتراض بيانات وثيقة هوية المثيل أن يجعل وثيقة هوية مزورة تُقبل، مما يؤدي إلى قرارات ثقة خاطئة تستند إلى عملية التصديق.
التوصيات
قم بتحديث go-witness إلى الإصدار 0.9.1 أو أحدث.
قم بتحديث witness إلى الإصدار 0.10.1 أو أحدث.
تحقق يدويًّا من وثيقة الهوية والتوقيع والمفتاح العام المرفقة باستخدام الأدوات القياسية، باتباع إرشادات التحقق من AWS.
قم بتعطيل استخدام أداة التصديق من AWS حتى يتم تحديثها.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾