FICHE CVE

CVE-2024-23656

Publiée le 2024-01-25 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les serveurs d'identité Dex utilisant la version 2.37.0 sont vulnérables aux attaques de l'homme du milieu car ils autorisent accidentellement des versions obsolètes et non sécurisées de TLS (1.0 et 1.1). Un attaquant présent sur le réseau peut intercepter le trafic chiffré pour voler des données d'authentification sensibles. Cette faille est facile à exploiter et ne nécessite aucun privilège particulier ni interaction de l'utilisateur.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

CWE-326 CWE-757

Publiée2024-01-25

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Dex is an identity service that uses OpenID Connect to drive authentication for other apps. Dex 2.37.0 serves HTTPS with insecure TLS 1.0 and TLS 1.1. `cmd/dex/serve.go` line 425 seemingly sets TLS 1.2 as minimum version, but the whole `tlsConfig` is ignored after `TLS cert reloader` was introduced in v2.37.0. Configured cipher suites are not respected either. This issue is fixed in Dex 2.38.0.