CVE-2024-41948lowCWE-1259

CVE-2024-41948: falha de baixa gravidade em biscuit-auth biscuit-java

biscuit-java vulnerable to public key confusion in third party block

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar biscuit-java+ Monitorar org.biscuitsec:biscuit

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

8Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 3epss 0.3%
Em resumo

Uma falha no biscuit-java permite que um usuário malicioso crie uma requisição de bloco de terceira parte falsificada que engana a autoridade a confiar na chave criptográfica errada. Isso pode levar à validação não autorizada de tokens se o atacante conseguir fazer a autoridade assinar um bloco com associações de chave incorretas.

Detalhe técnico

A vulnerabilidade existe na geração de blocos de terceira parte, onde uma requisição ThirdPartyBlock construída maliciosamente pode causar confusão entre a chave pública do bloco anterior e as chaves da tabela de símbolos do token. Um atacante pode enviar uma requisição maliciosa com chaves públicas não correspondentes, levando a autoridade de terceira parte a gerar e assinar um bloco com relações de confiança de chave incorretas nas regras datalog.

Resumo gerado e traduzido por IA a partir da descrição oficial.
biscuit-java is the java implementation of Biscuit, an authentication and authorization token for microservices architectures. Third-party blocks can be generated without transferring the whole token to the third-party authority. Instead, a ThirdPartyBlock request can be sent, providing only the necessary info to generate a third-party block and to sign it, which includes the public key of the previous block (used in the signature) and the public keys part of the token symbol table (for public key interning in datalog expressions). A third-part block request forged by a malicious user can trick the third-party authority into generating datalog trusting the wrong keypair. This vulnerability is fixed in 4.0.0.
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:N/I:L/A:N
Produtos afetados
biscuit-auth · biscuit-java