CVE-2021-21387
Publiée le 2021-03-19 · Dernière modification le 2026-06-17
Les versions 2.0.0 à 2.2.0 de la messagerie Wrongthink utilisent un chiffrement faible et des numéros de sécurité mal calculés, ce qui pourrait permettre à un attaquant réseau d'usurper l'identité d'un utilisateur ou de déchiffrer des communications privées. L'exploitation est relativement simple via le réseau et ne nécessite aucun privilège particulier, bien qu'elle requière une certaine forme d'interaction de la part de l'utilisateur. La mise à jour vers la version 2.3.0 corrige ces failles cryptographiques.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Wrongthink peer-to-peer, end-to-end encrypted messenger with PeerJS and Axolotl ratchet. In wrongthink from version 2.0.0 and before 2.3.0 there was a set of vulnerabilities causing inadequate encryption strength. Part of the secret identity key was disclosed by the fingerprint used for connection. Additionally, the safety number was improperly calculated. It was computed using part of one of the public identity keys instead of being derived from both public identity keys. This caused issues in computing safety numbers which would potentially be exploitable in the real world. Additionally there was inadequate encryption strength due to use of 1024-bit DSA keys. These issues are all fixed in version 2.3.0.