PT-2021-8044

CVE-2021-21374

Publicado

2021-02-04

Atualizado

2024-06-15

Descrição por

CVSS 3.1

8.1

Alta

MétricasAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Nimble anteriores à 1.2.10

Versões do Nimble anteriores à 1.4.4

Descrição

O problema está relacionado à função nimble refresh do gerenciador de pacotes Nimble para a linguagem de programação Nim. É causado pela falta de verificação dos pacotes baixados devido a um erro no procedimento de autenticação de certificados. Isso pode permitir que um invasor remoto realize um ataque man-in-the-middle ou execute código arbitrário baixando pacotes maliciosos.

Recomendações

Para versões do Nimble anteriores à 1.2.10, atualize para a versão 1.2.10 ou posterior para resolver o problema.

Para versões do Nimble anteriores à 1.4.4, atualize para a versão 1.4.4 ou posterior para resolver o problema.

Como solução alternativa temporária, considere desativar a função nimble refresh até que um patch esteja disponível.

Restrinja o acesso ao httpClient para minimizar o risco de exploração.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados