Vulnérabilité dans le client de messagerie Wire

Date de publication :

CVE-2021-41093[Score CVSS v3.1: 7,4]
Une vulnérabilité a été découverte dans le client de messagerie instantanée Wire. Il s'agit d'un manque de contrôle dans la gestion d'un jeton de session.
Un attaquant peut utiliser un ancien jeton d’accès pour prendre le contrôle d’un compte et changer l’adresse email. Il est recommandé d’installer la mise à jour qui apporte une meilleure gestion du processus d’authentification. En effet, la mise à jour ajoute un contrôle supplémentaire via un cookie au niveau du jeton de la session en plus du contrôle de l'entête 'authorization".

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Accès non autorisé
  • Contournement de sécurité
  • Elévation de privilèges

Criticité

  • Score CVSS v3.1: 7,4

CVE

Composants vulnérables

  • Les versions précédant Wire 3.86

 

Solutions ou recommandations

 

 

Liens