CVE-2017-5887

Wysokie

Opublikowano: 06/04/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

WebSocket.swift w Starscream przed wersją 2.0.4 umożliwia obejście SSL Pinning, ponieważ pinning odbywa się w funkcji stream, co jest zbyt późno; pinning powinno odbywać się w funkcji initStreamsWithData.

Ocena ryzyka

Obejście SSL Pinning może prowadzić do przechwycenia danych przesyłanych przez WebSocket, co stwarza poważne zagrożenie dla bezpieczeństwa komunikacji.

Rekomendacja

Zaktualizuj Starscream do wersji 2.0.4 lub nowszej, aby naprawić lukę w zabezpieczeniach związanych z SSL Pinning.

Inne podatności w Starscream

CVE-2017-7192Wysokie
WebSocket.swift w Starscream przed wersją 2.0.4 umożliwia obejście SSL Pinning z powodu nieprawidłowego zarządzania zmienną certValidated, która może być ustawiona na true, ale nie może być ustawiona na false.

Oryginalny opis (angielski, źródło NVD)

WebSocket.swift in Starscream before 2.0.4 allows an SSL Pinning bypass because pinning occurs in the stream function (this is too late; pinning should occur in the initStreamsWithData function).