Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-04383

Опубликовано: 04 фев. 2021
Источник: fstec
CVSS3: 8.1
CVSS2: 7.6
EPSS Низкий

Описание

Уязвимость функции nimble refresh менеджера пакетов Nimble языка программирования Nim связана с отсутствием проверки загружаемых пакетов в результате ошибки процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, реализовать атаку типа «человек посередине» или выполнить произвольный код путем загрузки вредоносных пакетов

Вендор

Nim Lang Team

Наименование ПО

Nim
Nimble

Версия ПО

до 1.2.10 (Nim)
от 1.4.0 до 1.4.4 (Nim)
до 0.12.0 включительно (Nimble)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Nimble:
https://github.com/nim-lang/nimble/blob/master/changelog.markdown#0130
https://github.com/nim-lang/nimble/commit/61e014458c41f46934ba7158a092b369c171949c
Для Nim:
https://github.com/nim-lang/Nim/pull/16940
https://github.com/nim-lang/Nim/releases/tag/v1.4.4
https://github.com/nim-lang/Nim/releases/tag/v1.2.10

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 54%
0.00313
Низкий

8.1 High

CVSS3

7.6 High

CVSS2

Связанные уязвимости

CVSS3: 8.1
ubuntu
почти 5 лет назад

Nimble is a package manager for the Nim programming language. In Nim release versions before versions 1.2.10 and 1.4.4, "nimble refresh" fetches a list of Nimble packages over HTTPS without full verification of the SSL/TLS certificate due to the default setting of httpClient. An attacker able to perform MitM can deliver a modified package list containing malicious software packages. If the packages are installed and used the attack escalates to untrusted code execution.

CVSS3: 8.1
nvd
почти 5 лет назад

Nimble is a package manager for the Nim programming language. In Nim release versions before versions 1.2.10 and 1.4.4, "nimble refresh" fetches a list of Nimble packages over HTTPS without full verification of the SSL/TLS certificate due to the default setting of httpClient. An attacker able to perform MitM can deliver a modified package list containing malicious software packages. If the packages are installed and used the attack escalates to untrusted code execution.

CVSS3: 8.1
debian
почти 5 лет назад

Nimble is a package manager for the Nim programming language. In Nim r ...

suse-cvrf
почти 5 лет назад

Security update for nim

suse-cvrf
больше 3 лет назад

Security update for nim

EPSS

Процентиль: 54%
0.00313
Низкий

8.1 High

CVSS3

7.6 High

CVSS2