Vulnerabilidad en Apache Qpid Proton (CVE-2019-0223)
Gravedad CVSS v3.1:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
23/04/2019
Última modificación:
07/11/2023
Descripción
Mientras investigábamos el error PROTON-2014, descubrimos que en algunas circunstancias las versiones de Apache Qpid Proton 0.9 a 0.27.0 (librería de C y sus adaptaciones de lenguaje) pueden conectarse a un peer de forma anónima utilizando TLS *incluso cuando está configurado para verificar el certificado del peer* mientras se utiliza con versiones de OpenSSL anteriores a la 1.1.0. Esto significa que un ataque man in the middle podría ser construido si un atacante puede interceptar el tráfico TLS.
Impacto
Puntuación base 3.x
7.40
Gravedad 3.x
ALTA
Puntuación base 2.0
5.80
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:apache:qpid:*:*:*:*:*:*:*:* | 0.9 (incluyendo) | 0.27.0 (incluyendo) |
cpe:2.3:a:redhat:jboss_amq_clients_2:-:*:*:*:*:*:*:* | ||
cpe:2.3:o:redhat:linux:6.0:*:*:*:*:*:*:* | ||
cpe:2.3:o:redhat:linux:7.0:*:*:*:*:*:*:* | ||
cpe:2.3:a:redhat:openstack:13:*:*:*:*:*:*:* | ||
cpe:2.3:a:redhat:openstack:14:*:*:*:*:*:*:* | ||
cpe:2.3:a:redhat:satellite:6.3:*:*:*:*:*:*:* | ||
cpe:2.3:a:redhat:satellite:6.4:*:*:*:*:*:*:* | ||
cpe:2.3:a:redhat:satellite:6.5:*:*:*:*:*:*:* | ||
cpe:2.3:o:redhat:enterprise_linux_desktop:6.0:*:*:*:*:*:*:* | ||
cpe:2.3:o:redhat:enterprise_linux_desktop:7.0:*:*:*:*:*:*:* | ||
cpe:2.3:o:redhat:enterprise_linux_eus:6.7:*:*:*:*:*:*:* | ||
cpe:2.3:o:redhat:enterprise_linux_eus:7.2:*:*:*:*:*:*:* | ||
cpe:2.3:o:redhat:enterprise_linux_eus:7.3:*:*:*:*:*:*:* | ||
cpe:2.3:o:redhat:enterprise_linux_eus:7.4:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- http://www.openwall.com/lists/oss-security/2019/04/23/4
- http://www.securityfocus.com/bid/108044
- https://access.redhat.com/errata/RHSA-2019:0886
- https://access.redhat.com/errata/RHSA-2019:1398
- https://access.redhat.com/errata/RHSA-2019:1399
- https://access.redhat.com/errata/RHSA-2019:1400
- https://access.redhat.com/errata/RHSA-2019:2777
- https://access.redhat.com/errata/RHSA-2019:2778
- https://access.redhat.com/errata/RHSA-2019:2779
- https://access.redhat.com/errata/RHSA-2019:2780
- https://access.redhat.com/errata/RHSA-2019:2781
- https://access.redhat.com/errata/RHSA-2019:2782
- https://issues.apache.org/jira/browse/PROTON-2014?page=com.atlassian.jira.plugin.system.issuetabpanels%3Aall-tabpanel
- https://lists.apache.org/thread.html/008ee5e78e5a090e1fcc5f6617f425e4e51d59f03d3eda2dd006df9f%40%3Cusers.qpid.apache.org%3E
- https://lists.apache.org/thread.html/3adb2f020f705b4fd453982992a68cd10f9d5ac728b699efdb73c1f5%40%3Cdev.qpid.apache.org%3E
- https://lists.apache.org/thread.html/49c83f0acce5ceaeffca51714ec2ba0f0199bcb8f99167181bba441b%40%3Cdev.qpid.apache.org%3E
- https://lists.apache.org/thread.html/914424e4d798a340f523b6169aaf39b626971d9bb00fcdeb1d5d6c0d%40%3Ccommits.qpid.apache.org%3E
- https://lists.apache.org/thread.html/d9c9a882a292e2defaed1f954528c916fb64497ce57db652727e39b0%40%3Cannounce.apache.org%3E