CVE-2021-22565mediumCWE-284

CVE-2021-22565: falha de média gravidade em Google Exposure-notifications-verification-serv…

Insufficient Granularity of Access Control in GAEN Notification Server

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Google Exposure-notifications-verification-server+ Monitorar github.com/google/exposure-notifications-verification-server

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.5epss 0.4%
Em resumo

Um invasor pode desabilitar códigos de verificação que os pacientes usam para reportar exposição à COVID, impedindo que compartilhem seus dados de exposição com pessoas que tiveram contato.

Detalhe técnico

O GAEN Notification Server apresenta granularidade insuficiente de controle de acesso (CWE-284), permitindo que um atacante expire prematuramente códigos de verificação e impeça usuários legítimos de enviar Temporary Exposure Keys (TEKs) e gerar notificações de exposição. Trata-se de um ataque pré-autenticação que afeta a confidencialidade e disponibilidade do sistema.

Resumo gerado e traduzido por IA a partir da descrição oficial.
An attacker could prematurely expire a verification code, making it unusable by the patient, making the patient unable to upload their TEKs to generate exposure notifications. We recommend upgrading the Exposure Notification server to V1.1.2 or greater.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L
Produtos afetados
Google LLC · Google Exposure-notifications-verification-server