Vulnerabilidad en un mensaje en una sesión QUIC en un escenario de paquete death (CVE-2021-24029)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

15/03/2021

Última modificación:

23/03/2021

Descripción

Un paquete de escenario death es posible en mvfst por medio de un mensaje especialmente diseñado durante una sesión QUIC, lo que causa un bloqueo por medio de un fallo de aserción.&#xa0;Según la especificación QUIC, este mensaje en particular debe tratarse como un error de conexión.&#xa0;Este problema afecta a las versiones de mvfst anteriores al commit a67083ff4b8dcbb7ee2839da6338032030d712b0 y versiones de proxygen anteriores a v2021.03.15.00

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

7.50

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:L/Au:N/C:N/I:N/A:P CVSS v2.0 Severidad y Métricas:

Puntuación base: 5.00 MEDIA
Vector: AV:N/AC:L/Au:N/C:N/I:N/A:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Físico