PT-2020-13334 · Oasis · Oasis Digital Signature Services
CVE-2020-13101
·
Publicado
2020-08-24
·
Atualizado
2022-12-06
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N |
Nome do software vulnerável e versões afetadas
OASIS Digital Signature Services (DSS) versão 1.0
Descrição
A vulnerabilidade permite que um invasor controle o resultado da validação de uma assinatura por meio de uma assinatura XML maliciosamente criada quando a opção InlineXML é utilizada, comprometendo a garantia de não repúdio. Isso pode resultar em um resultado válido ou inválido para uma assinatura válida ou inválida.
Recomendações
Para o OASIS Digital Signature Services (DSS) versão 1.0, considere desativar a opção InlineXML como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao mecanismo de validação de assinatura XML para minimizar o risco de exploração. Evite usar o recurso de assinatura XML criada de forma maliciosa na versão afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Improper Verification of Cryptographic Signature
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Oasis Digital Signature Services