Vulnerabilidad en matrix-nio (CVE-2022-39254)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

29/09/2022

Última modificación:

13/07/2023

Descripción

matrix-nio es una librería cliente de Matrix en Python, diseñada según los principios de sans I/O. En versiones anteriores a 0.20, cuando los usuarios solicitaban una llave de habitación desde sus dispositivos, el software recordaba correctamente la petición. Una vez que reciben una llave de habitación reenviada, la aceptan sin comprobar de quién procede la llave de habitación. Esto permite que los servidores domésticos intenten introducir llaves de habitación de dudosa validez, montando potencialmente un ataque de suplantación de identidad. La versión 0.20 corrige el problema

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno