Christos Papakonstantinou

Uma falha na função `X509 verify cert()` permite que uma CA de um atacante não verificada seja permanentemente armazenada no CertManager compartilhado. Isso resulta na ignorância da validação de certificados em todos os consumidores irmãos type-blind, incluindo TLS nativo, OCSP, CRL e verificação direta do CertManager. Este problema ocorre quando o software é compilado com a flag `--enable-opensslextra` ou com as macros `OPENSSL EXTRA`, `!NO CERTS` e `!WOLFCRYPT ONLY` definidas, e a aplicação realiza chamadas específicas à função `X509 verify cert()`.

Ao utilizar Raw Public Key (RPK), uma conexão do lado do cliente usando TLS 1.2, 1.3 ou DTLS 1.2 pode aceitar um `server cert type=RawPublicKey` não solicitado. Este comportamento permite que um servidor malicioso ou com mau funcionamento ignore a autenticação. Este problema ocorre em compilações onde o RPK está habilitado via `--enable-rpk`, `--enable-all` ou `--enable-distro` (HAVE RPK).

Uma verificação de acesso inadequada permite a escalada de privilégios através do endpoint 'com users group editing webservice'.

Uma verificação de acesso inadequada permite a escalada de privilégios por meio da tarefa em lote `com users`.

Verificações de estado insuficientes criam um vetor que permite ignorar as verificações de autenticação de dois fatores (2FA).

O Cargo normalizou incorretamente as URLs de registros de terceiros que utilizam o protocolo de índice esparso (sparse index protocol). Em cenários onde um provedor de hospedagem permite que múltiplos registros sejam hospedados com nomes arbitrários dentro do mesmo domínio, um invasor capaz de publicar crates em um registro poderia obter as credenciais de outros usuários do mesmo registro.

O Cargo manipulou incorretamente links simbólicos (symlinks)—que são arquivos que apontam para outro arquivo ou diretório—dentro de tarballs de crates baixados de registros de terceiros. Isso permite que uma crate maliciosa substitua o código-fonte de outra crate originária do mesmo registro.