CVE-2017-17847
WysokieStreszczenie
W Enigmail przed wersją 1.9.9 odkryto problem związany z fałszowaniem podpisów. Interfejs użytkownika nie rozróżnia poprawnie podpisu załącznika od podpisu, który dotyczy całej wiadomości, co może prowadzić do nieautoryzowanego uwierzytelnienia wiadomości.
Ocena ryzyka
Organizacje mogą być narażone na ataki polegające na wprowadzeniu w błąd użytkowników, co może skutkować ujawnieniem poufnych informacji lub oszustwami.
Rekomendacja
Zaleca się aktualizację Enigmail do wersji 1.9.9 lub nowszej, aby zniwelować ryzyko związane z fałszowaniem podpisów.
Inne podatności w Enigmail
Zobacz wszystkie- CVE-2017-17848Wysokie
W Enigmail przed wersją 1.9.9 odkryto problem związany z fałszowaniem podpisów w wiadomościach multipart/related. Część wiadomości z podpisem może być odwoływana za pomocą URI cid:, ale nie jest faktycznie wyświetlana, co prowadzi do sytuacji, w której cała wiadomość wydaje się być podpisana, mimo że odbiorca nie widzi żadnego z podpisanych tekstów.
- CVE-2017-17846Wysokie
W Enigmail przed wersją 1.9.9 odkryto problem związany z wyrażeniami regularnymi, które mogą być wykorzystywane do ataków typu Denial of Service poprzez próby dopasowania dowolnie długich ciągów.
- CVE-2017-17845Wysokie
W Enigmail przed wersją 1.9.9 odkryto problem związany z niewłaściwym generowaniem losowych sekretów. Użycie Math.Random() przez pretty Easy privacy (pEp) prowadzi do tej podatności.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Enigmail before 1.9.9. Signature spoofing is possible because the UI does not properly distinguish between an attachment signature, and a signature that applies to the entire containing message, aka TBE-01-021. This is demonstrated by an e-mail message with an attachment that is a signed e-mail message in message/rfc822 format.