Podatność w YubiKey Manager. Konieczna aktualizacja

Yubico poinformowało, że YubiKey Manager GUI działające z uprawieniami administratora pozwalało na uruchomienie przeglądarki z tymi samymi uprawnieniami. Ważne jest to, że podatność była możliwa do wykorzystania jedynie lokalnie, co znacząco ograniczyło jej wagę.

Yubico określiło CVSS Score podatności jako 7.7. Jest również oznaczana jako CVE-2024-31498 lub YSA-2024-01.

Jak można zabezpieczyć się przed luką?

Tak jak w przypadku wielu podatności, podstawą jest zainstalowanie odpowiedniej aktualizacji. Według Yubico podatność nie może zostać wykorzystana w systemach, gdzie Microsoft Edge jest domyślną przeglądarką.

Z racji na brak publicznego exploitu i specyficzne warunki do wykorzystania podatności nie jest ona krytyczna, lecz na pewno warto zaaktualizować Yubikey Managera do najnowszej wersji.

Samo uwierzytelnianie za pomocą kluczy fizycznych jest jednym z najlepszych składników uwierzytelniania dwuetapowego. Sam mechanizm fizycznego składnika nie został skompromitowany. Jest to obecnie jeden z niewielu składników uwierzytelniania, który jest (praktycznie) niemożliwy do obejścia, w przeciwieństwie do np. kodów SMS.

Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na:[email protected].