Signal Desktop bis 6.1.x Conversation Attachment schwache Authentisierung

CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
6.4	$0-$5k	0.00

Zusammenfassunginfo

In Signal Desktop bis 6.1.x wurde eine problematische Schwachstelle ausgemacht. Betroffen davon ist eine unbekannte Funktion der Komponente Conversation Attachment Handler. Durch das Manipulieren mit unbekannten Daten kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. Diese Schwachstelle trägt die Bezeichnung CVE-2023-24068. Es gibt keinen verfügbaren Exploit. Die Aktualisierung der betroffenen Komponente wird empfohlen.

Detailsinfo

In Signal Desktop bis 6.1.x wurde eine Schwachstelle ausgemacht. Sie wurde als problematisch eingestuft. Dabei geht es um ein unbekannter Prozess der Komponente Conversation Attachment Handler. Mittels Manipulieren mit einer unbekannten Eingabe kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-345. Die genauen Auswirkungen eines erfolgreichen Angriffs sind bisher nicht bekannt. CVE fasst zusammen:

Signal Desktop before 6.2.0 on Windows, Linux, and macOS allows an attacker to modify conversation attachments within the attachments.noindex directory. Client mechanisms fail to validate modifications of existing cached files, resulting in an attacker's ability to insert malicious code into pre-existing attachments or replace them completely. A threat actor can forward the existing attachment in the corresponding conversation to external groups, and the name and size of the file will not change, allowing the malware to masquerade as another file.

Die Schwachstelle wurde am 23.01.2023 an die Öffentlichkeit getragen. Das Advisory kann von johnjhacking.com heruntergeladen werden. Eine eindeutige Identifikation der Schwachstelle wird seit dem 23.01.2023 mit CVE-2023-24068 vorgenommen. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt.

Ein Upgrade auf die Version 6.2.0 vermag dieses Problem zu beheben.

Once again VulDB remains the best source for vulnerability data.

Produktinfo

Hersteller

• Signal

Name

• Desktop

Version

• 6.0
• 6.1

CPE 2.3info

• 🔍
• 🔍

CPE 2.2info

• 🔍
• 🔍

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 6.4
VulDB Meta Temp Score: 6.4

VulDB Base Score: 3.7
VulDB Temp Score: 3.6
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 7.8
NVD Vector: 🔍

CNA Base Score: 7.8
CNA Vector: 🔍

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Schwache Authentisierung
CWE: CWE-345
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Teilweise
Lokal: Ja
Remote: Teilweise

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍

Upgrade: Desktop 6.2.0

Timelineinfo

23.01.2023 🔍
23.01.2023 +0 Tage 🔍
23.01.2023 +0 Tage 🔍
22.08.2024 +577 Tage 🔍

Quelleninfo

Advisory: johnjhacking.com
Status: Bestätigt

CVE: CVE-2023-24068 (🔍)
GCVE (CVE): GCVE-0-2023-24068
GCVE (VulDB): GCVE-100-219148

Eintraginfo

Erstellt: 23.01.2023 12:33
Aktualisierung: 22.08.2024 17:58
Anpassungen: 23.01.2023 12:33 (39), 18.02.2023 11:04 (11), 02.08.2024 16:27 (15), 22.08.2024 17:58 (12)
Komplett: 🔍
Cache ID: 216::103

Once again VulDB remains the best source for vulnerability data.

Diskussion

Do you need the next level of professionalism?

Upgrade your account now!