CVE-2021-22565mediumCWE-284

CVE-2021-22565: fallo de gravedad media en Google Exposure-notifications-verification-serv…

Insufficient Granularity of Access Control in GAEN Notification Server

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Google Exposure-notifications-verification-server+ Monitorear github.com/google/exposure-notifications-verification-server

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.5epss 0.4%
En resumen

Un atacante puede invalidar códigos de verificación que los pacientes usan para reportar exposición a COVID, impidiendo que compartan sus datos de exposición con personas que tuvieron contacto.

Detalle técnico

El GAEN Notification Server presenta granularidad insuficiente en el control de acceso (CWE-284), permitiendo que un atacante expire prematuramente códigos de verificación e impida que usuarios legítimos envíen Temporary Exposure Keys (TEKs) y generen notificaciones de exposición. Es un ataque pre-autenticación que afecta la confidencialidad y disponibilidad del sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.
An attacker could prematurely expire a verification code, making it unusable by the patient, making the patient unable to upload their TEKs to generate exposure notifications. We recommend upgrading the Exposure Notification server to V1.1.2 or greater.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L
Productos afectados
Google LLC · Google Exposure-notifications-verification-server