CVE-2017-17845
WysokieStreszczenie
W Enigmail przed wersją 1.9.9 odkryto problem związany z niewłaściwym generowaniem losowych sekretów. Użycie Math.Random() przez pretty Easy privacy (pEp) prowadzi do tej podatności.
Ocena ryzyka
Niewłaściwe generowanie sekretów może prowadzić do osłabienia bezpieczeństwa komunikacji, co stwarza ryzyko dla poufności danych użytkowników.
Rekomendacja
Zaleca się aktualizację Enigmail do wersji 1.9.9 lub nowszej, aby usunąć tę podatność.
Inne podatności w Enigmail
Zobacz wszystkie- CVE-2017-17848Wysokie
W Enigmail przed wersją 1.9.9 odkryto problem związany z fałszowaniem podpisów w wiadomościach multipart/related. Część wiadomości z podpisem może być odwoływana za pomocą URI cid:, ale nie jest faktycznie wyświetlana, co prowadzi do sytuacji, w której cała wiadomość wydaje się być podpisana, mimo że odbiorca nie widzi żadnego z podpisanych tekstów.
- CVE-2017-17847Wysokie
W Enigmail przed wersją 1.9.9 odkryto problem związany z fałszowaniem podpisów. Interfejs użytkownika nie rozróżnia poprawnie podpisu załącznika od podpisu, który dotyczy całej wiadomości, co może prowadzić do nieautoryzowanego uwierzytelnienia wiadomości.
- CVE-2017-17846Wysokie
W Enigmail przed wersją 1.9.9 odkryto problem związany z wyrażeniami regularnymi, które mogą być wykorzystywane do ataków typu Denial of Service poprzez próby dopasowania dowolnie długich ciągów.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Enigmail before 1.9.9. Improper Random Secret Generation occurs because Math.Random() is used by pretty Easy privacy (pEp), aka TBE-01-001.