CVE-2024-45394
Publiée le 2024-09-03 · Dernière modification le 2026-06-17
Les utilisateurs de l'extension de navigateur Authenticator (version 7.0.0 et versions antérieures) sont exposés à un risque car leurs données locales ont été chiffrées à l'aide d'une méthode faible. Un attaquant qui obtiendrait un accès local à vos fichiers de données ou à votre sauvegarde chiffrée pourrait forcer la clé de chiffrement par brute-force pour voler vos codes de vérification en deux étapes. Cela nécessite que l'attaquant possède déjà une copie de vos données, mais une fois celle-ci obtenue, l'exploitation est simple et ne requiert aucune interaction supplémentaire de votre part.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Authenticator is a browser extension that generates two-step verification codes. In versions 7.0.0 and below, encryption keys for user data were stored encrypted at-rest using only AES-256 and the EVP_BytesToKey KDF. Therefore, attackers with a copy of a user's data are able to brute-force the user's encryption key. Users on version 8.0.0 and above are automatically migrated away from the weak encoding on first login. Users should destroy encrypted backups made with versions prior to 8.0.0.