Platforma Misskey nie weryfikuje podpisów kryptograficznych wiadomości federacyjnych, co pozwala dowolnemu użytkownikowi na podszywanie się pod dowolnego zdalnego użytkownika. Podatność jest krytyczna, ponieważ nie wymaga uwierzytelnienia i może prowadzić do poważnego naruszenia integralności komunikacji w sieci zdecentralizowanej.
▸ Pokaż oryginał (EN)
Misskey is an open source, decentralized social media platform. Misskey's missing signature validation allows arbitrary users to impersonate any remote user. This issue has been patched in version 2023.11.1-beta.1.
Misskey jako zdecentralizowana platforma społecznościowa korzysta z protokołu federacyjnego, w którym tożsamość użytkowników zdalnych powinna być weryfikowana za pomocą podpisów kryptograficznych. Z powodu braku tej weryfikacji (CWE-347 – Improper Verification of Cryptographic Signature) atakujący może wysyłać wiadomości lub aktywności podpisane w imieniu dowolnego zdalnego użytkownika bez posiadania odpowiedniego klucza prywatnego. System nie sprawdza poprawności podpisu, akceptując fałszywe żądania jako autentyczne.
Atakujący może skutecznie podszyć się pod dowolnego zdalnego użytkownika federacyjnego, fałszując jego tożsamość i działania w sieci, co prowadzi do wysokiego naruszenia integralności danych oraz częściowego ujawnienia informacji.
Należy zaktualizować Misskey do wersji 2023.11.1-beta.1 lub nowszej, w której wprowadzono prawidłową weryfikację podpisów kryptograficznych. Szczegóły dostępne w referencjach producenta (GitHub Security Advisory GHSA-3f39-6537-3cgc).
Misskey we wszystkich wersjach poprzedzających 2023.11.1-beta.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:H/A:NMisskey
APPMisskey< 2023.11.1
Powiązane podatności
Niewystarczająca weryfikacja uprawnień w Misskey — nieautoryzowany dostęp do danych
Misskey: niewystarczająca walidacja obiektów ActivityPub (bypass patcha CVE-2024-52591)
Misskey: nieprawidłowa autoryzacja API umożliwia wyciek danych i nieautoryzowane operacje
Misskey is an open source, federated social media platform. All Misskey servers prior to 2026.3.1 contain a vu...
Misskey is an open source, federated social media platform. Starting in version 13.0.0-beta.16 and prior to ve...