Cyber ·
Vulnerabilidades públicas sem correção no Cyrus SASL
Publicação na lista oss-sec, de 9 de outubro, informa que problemas de segurança divulgados publicamente no Cyrus SASL seguem sem resposta dos mantenedores e que não há nova versão desde 2022.
Publicação de Alan Coopersmith na lista oss-sec, de 9 de outubro, relata que há vários problemas de segurança divulgados publicamente no projeto Cyrus SASL sem resposta dos mantenedores. Segundo o texto, ex-mantenedores afirmam que já não participam do projeto. O último lançamento é de 2022, e os únicos commits do último ano foram atualizações de documentação para registrar releases do cyrus-imapd. O aviso lista problemas em aberto, entre eles vazamentos de memória em funções relacionadas a segredos de autenticação. A lista completa não consta do trecho recebido, que é uma tradução automática e pode conter imprecisões. Relevância: organizações que usam o Cyrus SASL como componente de autenticação devem tratar a situação também como risco de manutenção, não apenas como falha pontual. Vale inventariar onde a biblioteca aparece, acompanhar avisos dos fornecedores do sistema operacional e avaliar isolamento ou substituição. A Rota Nacional não corrige essa biblioteca nem resolve o problema de engenharia descrito.
Fonte original: Vulnerabilidades não corrigidas no Cyrus SASL