Vulnerabilidad en Mellium mellium.im/sasl (CVE-2022-48195)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-287 Autenticación incorrecta

Fecha de publicación:

31/12/2022

Última modificación:

11/04/2025

Descripción

Se descubrió un problema en Mellium mellium.im/sasl antes de la versión 0.3.1. Al realizar la autenticación SASL basada en SCRAM, si el extremo remoto anuncia soporte para enlace de canal, no se genera ningún nonce aleatorio (en cambio, el nonce está vacío). Esto hace que la autenticación falle en el mejor de los casos, pero (si se combina con un extremo remoto que no valida la longitud del nonce) podría provocar que se utilice una aleatoriedad insuficiente durante la autenticación.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto