Vulnerabilidad en svix (CVE-2024-21491)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

13/02/2024

Última modificación:

09/05/2025

Descripción

Las versiones del paquete svix anteriores a la 1.17.0 son vulnerables a la omisión de autenticación debido a un problema en la función de verificación donde las firmas de diferentes longitudes se comparan incorrectamente. Un atacante puede eludir la verificación de firma proporcionando una firma más corta que coincida con el comienzo de la firma real. **Nota:** El atacante necesitaría saber que la víctima usa la librería Rust para la verificación, no hay una manera fácil de verificarlo automáticamente; y utiliza webhooks de un servicio que utiliza Svix, y luego encuentra una manera de crear una carga útil maliciosa que en realidad incluirá todos los identificadores correctos necesarios para engañar a los receptores y causar problemas reales.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.90 MEDIA
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno