CVE-2017-7192

Wysokie

Opublikowano: 06/04/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

WebSocket.swift w Starscream przed wersją 2.0.4 umożliwia obejście SSL Pinning z powodu nieprawidłowego zarządzania zmienną certValidated, która może być ustawiona na true, ale nie może być ustawiona na false.

Ocena ryzyka

Organizacje mogą być narażone na ataki typu man-in-the-middle, co może prowadzić do przechwytywania danych przesyłanych przez niezabezpieczone połączenia.

Rekomendacja

Zaleca się aktualizację Starscream do wersji 2.0.4 lub nowszej, aby usunąć tę podatność.

Inne podatności w Starscream

CVE-2017-5887Wysokie
WebSocket.swift w Starscream przed wersją 2.0.4 umożliwia obejście SSL Pinning, ponieważ pinning odbywa się w funkcji stream, co jest zbyt późno; pinning powinno odbywać się w funkcji initStreamsWithData.

Oryginalny opis (angielski, źródło NVD)

WebSocket.swift in Starscream before 2.0.4 allows an SSL Pinning bypass because of incorrect management of the certValidated variable (it can be set to true but cannot be set to false).