PT-2024-2653

CVE-2024-2307

Publicado

2024-03-19

Atualizado

2024-08-20

Descrição por

CVSS 2.0

6.4

Média

MétricasAV:L/AC:L/Au:S/C:C/I:C/A:P

Nome do software vulnerável e versões afetadas

osbuild-composer (versões afetadas não especificadas)

Descrição

Uma falha no osbuild-composer pode desencadear uma condição que desativa a verificação GPG para repositórios de pacotes. Isso pode expor a fase de compilação a um ataque Man-in-the-Middle, permitindo que código não confiável seja instalado em uma imagem que está sendo compilada. O problema está relacionado à verificação incorreta da assinatura criptográfica.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Impactos

Pesquisadores

Robb Gatica

Fornecedores