Куда я попал?
CVE-2025-24904
PUBLISHED
13.02.2025
CNA: GitHub_M
libsignal-service-rs doesn't sanity check plaintext envelopes are not sanity-checked
Обновлено:
13.02.2025
libsignal-service-rs is a Rust version of the libsignal-service-java library which implements the core functionality to communicate with Signal servers. Prior to commit 82d70f6720e762898f34ae76b0894b0297d9b2f8, plaintext content envelopes could be injected by a server or a malicious client, and may have been able to bypass the end-to-end encryption and authentication. The vulnerability is fixed per 82d70f6720e762898f34ae76b0894b0297d9b2f8. The `Metadata` struct contains an additional `was_encrypted` field, which breaks the API, but should be easily resolvable. No known workarounds are available.
CWE
Идентификатор | Описание |
---|---|
CWE-287 | Некорректная аутентификация |
CWE-74 | Некорректная нейтрализация специальных элементов в выходных данных, отправляемых клиенту (внедрение) |
CVSS
Оценка | Severity | Версия | Базовый вектор |
---|---|---|---|
8.5 | HIGH | 3.1 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:N |
Доп. Информация
Product Status
libsignal-service-rs | |||||
---|---|---|---|---|---|
Product: | libsignal-service-rs | ||||
Vendor: | whisperfish | ||||
Default status: | Не определен | ||||
Версии: |
|
Ссылки
CISA ADP Vulnrichment
Обновлено:
13.02.2025
Этот блок содержит дополнительную информацию, предоставленную программой CVE для этой уязвимости.
SSVC
Exploitation | Automatable | Technical Impact | Версия | Дата доступа |
---|---|---|---|---|
none | no | partial | 2.0.3 | 13.02.2025 |
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.