Vulnerabilidad en un campo de una clave en openssh_key_parser (CVE-2022-31124)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

06/07/2022

Última modificación:

14/07/2022

Descripción

openssh_key_parser es un paquete de código abierto de Python que proporciona utilidades para analizar y empaquetar archivos de clave pública y privada de OpenSSH. En versiones anteriores a 0.0.6, si un campo de una clave es más corto de lo que se declara, el analizador genera un error con un mensaje que contiene el valor del campo en bruto. Un atacante capaz de modificar la longitud declarada del campo confidencial de una clave puede así exponer el valor bruto de ese campo. Es recomendado a usuarios actualizar a versión 0.0.6, que ya no incluye el valor bruto del campo en el mensaje de error. No se presentan mitigaciones conocidas para este problema

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

6.50

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:L/Au:S/C:P/I:N/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 4.00 MEDIA
Vector: AV:N/AC:L/Au:S/C:P/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno