golang-fips openssl/openssl/rsa.go pkey​/ctx denegación de servicio

CVSS Puntuación meta temporalPrecio actual del exploit (≈)Puntuación de interés CTI
5.4$0-$5k1.01

Resumeninformación

Una vulnerabilidad clasificada como problemática ha sido encontrada en golang-fips. Resulta afectada una función desconocida dentro del archivo openssl/openssl/rsa.go. Por la manipulación del parámetro pkey​/ctx de un input desconocido se causa una vulnerabilidad de clase denegación de servicio. Esta vulnerabilidad se conoce como CVE-2024-1394. No hay ningún exploit disponible.

Detallesinformación

Una vulnerabilidad fue encontrada en golang-fips y clasificada como problemática. Una función desconocida del archivo openssl/openssl/rsa.go es afectada por esta vulnerabilidad. Mediante la manipulación del parámetro pkey​/ctx de un input desconocido se causa una vulnerabilidad de clase denegación de servicio. Esto tiene repercusión sobre la la disponibilidad. El resumen de CVE es:

Se encontró una falla de pérdida de memoria en Golang en el código de cifrado/descifrado RSA, lo que podría conducir a una vulnerabilidad de agotamiento de recursos mediante entradas controladas por el atacante. La pérdida de memoria ocurre en github.com/golang-fips/openssl/openssl/rsa.go#L113. Los objetos filtrados son pkey? y ctx?. Esa función utiliza parámetros de retorno con nombre para liberar pkey? y ctx? si hay un error al inicializar el contexto o al configurar las diferentes propiedades. Todas las declaraciones de devolución relacionadas con casos de error siguen el patrón "return nil, nil, fail(...)", lo que significa que pkey? y ctx? serán nulos dentro de la función diferida que debería liberarlos.

El advisory puede ser descargado de bugzilla.redhat.com. La vulnerabilidad es identificada como CVE-2024-1394. La explotación se considera fácil. Detalles técnicos son conocidos, pero no hay ningún exploit público disponible.

Para el scanner Nessus se dispone de un plugin ID 207849 (RHEL 8 : osbuild-composer (RHSA-2024:7262)), que puede ayudar a determinar la existencia del riesgo analizado.

No hay información respecto a posibles contramedidas. Se sugiere sustituir el producto con un equivalente.

La vulnerabilidad también está documentado en las bases de datos Tenable (207849), EUVD (EUVD-2024-0854) y CERT Bund (WID-SEC-2024-1228). Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

Afectado

  • Red Hat Enterprise Linux
  • Red Hat OpenStack
  • IBM MQ
  • Red Hat OpenShift

Productoinformación

Nombre

Licencia

CPE 2.3información

CPE 2.2información

CVSSv4información

VulDB Vector: 🔍
VulDB Confiabilidad: 🔍

CVSSv3información

VulDB Puntuación meta base: 5.5
VulDB Puntuación meta temporal: 5.4

VulDB Puntuación base: 3.5
VulDB Puntuación temporal: 3.4
VulDB Vector: 🔍
VulDB Confiabilidad: 🔍

CNA Puntuación base: 7.5
CNA Vector (Red Hat, Inc.): 🔍

CVSSv2información

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VectorComplejidadAutenticaciónConfidencialidadIntegridadDisponibilidad
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear

VulDB Puntuación base: 🔍
VulDB Puntuación temporal: 🔍
VulDB Confiabilidad: 🔍

Explotacióninformación

Clase: Denegación de servicio
CWE: CWE-401 / CWE-404
CAPEC: 🔍
ATT&CK: 🔍

Físico: No
Local: No
Remoto: Sí

Disponibilidad: 🔍
Estado: No está definido

EPSS Score: 🔍
EPSS Percentile: 🔍

Predicción de precios: 🔍
Estimación del precio actual: 🔍

0-DayDesbloquearDesbloquearDesbloquearDesbloquear
HoyDesbloquearDesbloquearDesbloquearDesbloquear

Nessus ID: 207849
Nessus Nombre: RHEL 8 : osbuild-composer (RHSA-2024:7262)

Inteligencia de amenazasinformación

Interés: 🔍
Actores activos: 🔍
Grupos APT activos: 🔍

Contramedidasinformación

Recomendación: Parche
Estado: 🔍

Hora de 0 días: 🔍

Parche: github.com

Línea de tiempoinformación

2024-02-09 🔍
2024-03-20 +40 días 🔍
2024-03-20 +0 días 🔍
2026-08-14 +876 días 🔍

Fuentesinformación

Aviso: RHSA-2024:1462
Estado: Confirmado

CVE: CVE-2024-1394 (🔍)
GCVE (CVE): GCVE-0-2024-1394
GCVE (VulDB): GCVE-100-257515
EUVD: 🔍
CERT Bund: WID-SEC-2024-1228 - Red Hat OpenStack: Mehrere Schwachstellen

Artículoinformación

Fecha de creación: 2024-03-20 19:05
Actualizado: 2026-08-14 01:01
Cambios: 2024-03-20 19:05 (50), 2024-05-03 06:05 (3), 2024-05-03 06:18 (12), 2024-06-26 14:59 (1), 2024-09-28 01:36 (5), 2025-05-13 03:00 (5), 2025-07-27 06:29 (8), 2026-08-14 01:01 (4)
Completo: 🔍
Cache ID: 216::103

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

Discusión

Sin comentarios aún. Idiomas: es + pt + en.

Por favor, inicie sesión para comentar.

◂ AnteriorVisión De ConjuntoPróximo ▸

Do you need the next level of professionalism?

Upgrade your account now!