Danny Grander

**Nome do software vulnerável e versões afetadas** Versões do MintegralAdSDK anteriores à 6.6.0.0 **Descrição** O problema diz respeito a uma funcionalidade maliciosa dentro do SDK que atua como um backdoor, permitindo que a Mintegral e seus parceiros executem remotamente código arbitrário no dispositivo do usuário. Isso lhes permite realizar ações não autorizadas no dispositivo. **Recomendações** Para versões anteriores à 6.6.0.0, atualize para a versão 6.6.0.0 ou posterior para resolver o problema. Como solução temporária, considere restringir ou desativar o uso do MintegralAdSDK até que a atualização possa ser aplicada.

**Nome do software vulnerável e versões afetadas** com.mintegral.msdk:alphab (versões afetadas não especificadas) **Descrição** O Android SDK contém uma funcionalidade maliciosa que rastreia downloads de URLs do Google, incluindo downloads de arquivos, anexos de e-mail e links do Google Docs, bem como todos os downloads de APK. O módulo monitora eventos de download no gerenciador de downloads do Android e detecta se a URL do arquivo baixado contém google.com, se provém de um aplicativo do Google ou se termina com .apk no caso de downloads de APK. Os dados capturados são enviados de volta aos servidores da Mintegral. Essa funcionalidade é executada mesmo quando o aplicativo não está em primeiro plano, ou seja, em segundo plano. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Name of the Vulnerable Software and Affected Versions: plexus-archiver versions prior to 3.6.0 Description: The issue allows attackers to write to arbitrary files via a ../ (dot dot slash) in an archive entry that is mishandled during extraction. This is also known as 'Zip-Slip'. Recommendations: For versions prior to 3.6.0, update to version 3.6.0 or later to resolve the issue. As a temporary workaround, consider restricting access to archive extraction functionality until a patch is available. Avoid using the affected archive extraction feature in plexus-archiver until the issue is resolved.

**Name of the Vulnerable Software and Affected Versions** Apache Hive versions 2.1.0 through 2.3.2 **Description** The issue arises when the 'COPY FROM FTP' statement is executed using the HPL/SQL extension to Hive. A malicious FTP server can cause a file to be written to an arbitrary location on the cluster, as the FTP client code in HPL/SQL does not verify the destination location of the downloaded file. This issue does not affect Hive CLI users or HiveServer2 users, as HPL/SQL is a separate command-line script invoked differently. **Recommendations** For Apache Hive versions 2.1.0 through 2.3.2, consider disabling the HPL/SQL extension until a patch is available to prevent potential exploitation. Restrict access to the 'COPY FROM FTP' statement to minimize the risk of arbitrary file writes on the cluster.