Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en Biscuit (CVE-2022-31053)

Gravedad CVSS v3.1:
CRÍTICA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
13/06/2022
Última modificación:
07/11/2023

Descripción

Biscuit es un token de autenticación y autorización para arquitecturas de microservicios. La versión 1 de la especificación de Biscuit contiene un algoritmo vulnerable que permite a actores maliciosos falsificar firmas válidas. Un ataque de este tipo permitiría a un atacante crear un token con cualquier nivel de acceso. La versión 2 de la especificación impone un algoritmo diferente a las firmas gamma y, como tal, no está afectada por esta vulnerabilidad. Las implementaciones de Biscuit en Rust, Haskell, Go, Java y Javascript han publicado versiones que siguen la especificación v2. No se presentan mitigaciones conocidas para este problema

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:biscuitsec:biscuit-auth:*:*:*:*:*:rust:*:* 1.0.0 (incluyendo) 1.1.0 (incluyendo)
cpe:2.3:a:biscuitsec:biscuit-go:*:*:*:*:*:*:*:* 2.0.0 (excluyendo)
cpe:2.3:a:biscuitsec:biscuit-haskell:0.1.1.0:*:*:*:*:*:*:*
cpe:2.3:a:clever-cloud:biscuit-java:*:*:*:*:*:*:*:* 2.0.0 (excluyendo)