p PatchFirst

CVE-2020-15163

CVE-2020-15163 · Invalid root may become trusted root in The Update Framework (TUF)

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Python TUF (The Update Framework) reference implementation before version 0.12 it will incorrectly trust a previously downloaded root metadata file which failed verification at download time. This allows an attacker who is able to serve multiple new versions of root metadata (i.e. by a person-in-the-middle attack) culminating in a version which has not been correctly signed to control the trust chain for future updates. This is fixed in version 0.12 and newer.

CVSS 8.7 · Élevée · EPSS 0,7% · Correctif disponible

Publication
Mise à jour

Pile logicielle: python

Produits et versions concernés

  • tuf

    Versions du logiciel
    • < 0.12: Concernée

    Aucun correctif publié

  • tuf PyPI

    Versions du logiciel
    • 0.10.0
    • 0.10.1
    • 0.10.2
    • 0.11.0
    • 0.11.1
    • 0.11.2.dev1
    • 0.11.2.dev2
    • 0.11.2.dev3
    • 0.11.dev0
    • 0.12.dev0
    • 0.12.dev1
    • 0.12.dev2
    • 0.7.5
    • 0.9.8
    • 0.9.9
    Plages de versions concernées
    • ECOSYSTEM: < 0.12.0

    Mettez à jour vers 0.12.0

  • tuf PyPI

    Versions du logiciel
    • 0.7.5
    • 0.9.8
    • 0.9.9
    • 0.10.0
    • 0.10.1
    • 0.10.2
    • 0.11.dev0
    • 0.11.0
    • 0.11.1
    • 0.11.2.dev1
    • 0.11.2.dev2
    • 0.11.2.dev3
    • 0.12.dev0
    • 0.12.dev1
    • 0.12.dev2
    Plages de versions concernées
    • GIT: < 3d342e648fbacdf43a13d7ba8886aaaf07334af7
    • ECOSYSTEM: < 0.12.0

    Mettez à jour vers 0.12.0

Sources originales

Vérifiez votre serveur →