Vulnerabilidad en el SDK de dispositivos de AWS IoT v2 para Java, Python, C++ y Node.js (CVE-2021-40831)

El SDK de dispositivos de AWS IoT v2 para Java, Python, C++ y Node.js añade una autoridad de certificación (CA) suministrada por el usuario a las CA root en lugar de anularla en los sistemas macOS. Además, la comprobación SNI tampoco está habilitada cuando la CA ha sido "overridden". Por lo tanto, los handshakes TLS tendrán éxito si el peer puede ser verificado desde la CA suministrada por el usuario o desde el trust-store por defecto del sistema. Los atacantes con acceso a los almacenes confiables de un host o que puedan comprometer una autoridad de certificación que ya esté en el almacén confiable del host (nota: el atacante también debe ser capaz de falsificar el DNS en este caso) pueden ser capaces de usar este problema para omitir el pinning de la CA. Un atacante podría entonces falsificar el broker MQTT, y dejar caer el tráfico y/o responder con los datos del atacante, pero no sería capaz de reenviar estos datos al broker MQTT porque el atacante todavía necesitaría las claves privadas del usuario para autenticarse contra el broker MQTT. La función "aws_tls_ctx_options_override_default_trust_store_*" dentro del submódulo aws-c-io ha sido actualizada para abordar este comportamiento. Este problema afecta a: Amazon Web Services AWS IoT Device SDK v2 para versiones de Java anteriores a 1.5.0 en macOS. Amazon Web Services AWS IoT Device SDK v2 para versiones de Python anteriores a 1.7.0 en macOS. Amazon Web Services AWS IoT Device SDK v2 para versiones de C++ anteriores a 1.14.0 en macOS. Amazon Web Services AWS IoT Device SDK v2 para versiones de Node.js anteriores a 1.6.0 en macOS. Amazon Web Services AWS-C-IO 0.10.7 en macOS