CVE-2024-39891mediumbajo ataqueCWE-203

CVE-2024-39891

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Authy

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

43Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA.

ssvc Attendcvss 5.3epss 1.7%
de la publicación al arma
Publicada en NVD2 jul
CISA KEV+21d
Acción exigida por CISAplazo federal: 2024-08-13

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

La aplicación Authy de Twilio tenía una falla de seguridad que permitía a cualquiera verificar si un número de teléfono estaba registrado en Authy, sin necesidad de iniciar sesión. Esto expuso qué números usan Authy, aunque las cuentas en sí no fueron comprometidas.

Detalle técnico

Un endpoint de API no autenticado en Authy Android (<25.1.0) e iOS (<26.1.0) permitía a atacantes enumerar números de teléfono registrados enviando solicitudes con números y recibiendo confirmación del estado de registro. Esta vulnerabilidad de divulgación de información (CWE-203) fue explotada activamente en junio de 2024, permitiendo ataques de enumeración de cuentas sin requerir autenticación.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

In the Twilio Authy API, accessed by Authy Android before 25.1.0 and Authy iOS before 26.1.0, an unauthenticated endpoint provided access to certain phone-number data, as exploited in the wild in June 2024. Specifically, the endpoint accepted a stream of requests containing phone numbers, and responded with information about whether each phone number was registered with Authy. (Authy accounts were not compromised, however.)
CVSS:3.1/AC:L/AV:N/A:N/C:L/I:N/PR:N/S:U/UI:N
Productos afectados
n/a · n/a