PT-2022-7386
CVE-2021-3521
·
Publicado
2021-08-15
·
Atualizado
2024-06-15
Descrição por
CVSS 3.1
4.7
MédiaMétricasAV:L/AC:H/PR:N/UI:R/S:U/C:N/I:H/A:N
Nome do software vulnerável e versões afetadas
RPM (versões afetadas não especificadas)
Descrição
O problema está relacionado a uma falha na funcionalidade de assinatura do RPM, na qual subchaves OpenPGP são associadas a uma chave primária por meio de uma “assinatura de ligação”. O RPM não verifica a assinatura de ligação das subchaves antes de importá-las. Isso poderia permitir que um invasor adicionasse uma subchave maliciosa a uma chave pública legítima, fazendo com que o RPM confiasse erroneamente em uma assinatura maliciosa. O maior impacto dessa falha é sobre a integridade dos dados. Para explorar essa falha, um invasor deve comprometer um repositório RPM ou convencer um administrador a instalar um RPM ou uma chave pública não confiável.
Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾