CVE-2021-40830

El SDK de dispositivos de IoT de AWS v2 para Java, Python, C++ y Node.js añade una autoridad de certificación (CA) suministrada por el usuario a las CA root en lugar de anularla en los sistemas Unix. Los handshakes TLS tendrán así éxito si el par puede ser verificado desde la CA suministrada por el usuario o desde el almacén confiable por defecto del sistema. Los atacantes con acceso a los almacenes confiable de un host o que puedan comprometer una autoridad de certificación que ya esté en el almacén confiable del host (nota: el atacante también debe ser capaz de falsificar el DNS en este caso) pueden ser capaces de usar este problema para omitir el pinning de la CA. Un atacante podría entonces falsificar el broker MQTT, y dejar caer el tráfico y/o responder con los datos del atacante, pero no sería capaz de reenviar estos datos al broker MQTT porque el atacante todavía necesitaría las claves privadas del usuario para autenticarse contra el broker MQTT. La función "aws_tls_ctx_options_override_default_trust_store_*" dentro del submódulo aws-c-io ha sido actualizada para anular el almacén confiable por defecto. Esto corrige este problema. Este problema afecta a: Amazon Web Services AWS IoT Device SDK v2 para versiones de Java anteriores a 1.5.0 en Linux/Unix. Amazon Web Services AWS IoT Device SDK v2 para versiones de Python anteriores a 1.6.1 en Linux/Unix. Amazon Web Services AWS IoT Device SDK v2 para versiones de C++ anteriores a 1.12.7 en Linux/Unix. Amazon Web Services AWS IoT Device SDK v2 para versiones de Node.js anteriores a 1.5.3 en Linux/Unix. Amazon Web Services AWS-C-IO 0.10.4 en Linux/Unix