PT-2024-12138

CVE-2023-27584

Publicado

2024-09-19

Atualizado

2024-12-20

Descrição por

CVSS 3.1

9.8

Crítica

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Dragonfly anteriores à 2.0.9

Descrição

O problema diz respeito ao Dragonfly, um sistema de código aberto de distribuição de arquivos e aceleração de imagens baseado em P2P. Ele utiliza JWT para verificar os usuários, mas a chave secreta do JWT está codificada no código-fonte, o que permite a contornar a autenticação. Um invasor pode realizar qualquer ação como um usuário com privilégios de administrador.

Recomendações

Para versões anteriores à 2.0.9, atualize para a versão 2.0.9 para corrigir o problema. Como solução temporária, considere restringir o acesso a recursos ou funções confidenciais que dependam da chave secreta JWT codificada até que a atualização seja aplicada.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Cokebeer

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-798: Use of Hard-coded Credentials

CWE-321: Use of Hard-coded Cryptographic Key

Identificadores relacionados