中危 Dino中的消息发件人缺乏验证（CVE-2023-28686）
CVE编号
CVE-2023-28686利用情况
暂无补丁情况
官方补丁披露时间
2023-03-23漏洞描述
当Dino客户端从未经授权的发件人那里收到一条特制的消息时，它会使用该消息中的信息来添加、更新或删除用户个人书签存储中的条目，而不需要进一步的用户交互。 此漏洞使攻击者能够更改群聊的显示方式，或迫使用户加入或离开攻击者选择的群聊。这可以用来欺骗用户向攻击者透露敏感信息。 影响范围： - Release version 0.4.0 and 0.4.1 - Release version 0.3.0 and 0.3.1 - Release version 0.2.2 and earlier - Nightly version 0.4.1-13-g6690d8e4 and earlier解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | dino | dino | * | Up to (excluding) 0.2.3 | |||||
| 运行在以下环境 | |||||||||
| 应用 | dino | dino | * | From (including) 0.3.0 | Up to (excluding) 0.3.2 | ||||
| 运行在以下环境 | |||||||||
| 应用 | dino | dino | * | From (including) 0.4.0 | Up to (excluding) 0.4.2 | ||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.16 | dino | * | Up to (excluding) 0.3.2-r0 | |||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.17 | dino | * | Up to (excluding) 0.3.2-r0 | |||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.18 | dino | * | Up to (excluding) 0.4.2-r0 | |||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_edge | dino | * | Up to (excluding) 0.4.2-r0 | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian | debian_linux | 10.0 | - | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian | debian_linux | 11.0 | - | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian | debian_linux | 12.0 | - | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian_10 | dino-im | * | Up to (excluding) 0.0.git20181129-1+deb10u1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian_11 | dino-im | * | Up to (excluding) 0.2.0-3+deb11u1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian_12 | dino-im | * | Up to (excluding) 0.4.2-1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian_sid | dino-im | * | Up to (excluding) 0.4.2-1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | fedoraproject | fedora | 36 | - | |||||
| 运行在以下环境 | |||||||||
| 系统 | fedoraproject | fedora | 37 | - | |||||
| 运行在以下环境 | |||||||||
| 系统 | fedoraproject | fedora | 38 | - | |||||
| 运行在以下环境 | |||||||||
| 系统 | fedora_36 | dino-devel | * | Up to (excluding) 0.3.2-1.fc36 | |||||
| 运行在以下环境 | |||||||||
| 系统 | fedora_37 | dino-devel | * | Up to (excluding) 0.3.2-1.fc37 | |||||
| 运行在以下环境 | |||||||||
| 系统 | fedora_38 | dino-devel | * | Up to (excluding) 0.4.2-1.fc38 | |||||
- 攻击路径 本地
- 攻击复杂度 复杂
- 权限要求 普通权限
- 影响范围 越权影响
- EXP成熟度 未验证
- 补丁情况 官方补丁
- 数据保密性 数据泄露
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 N/A
| CWE-ID | 漏洞类型 |
| CWE-639 | 通过用户控制密钥绕过授权机制 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论