PT-2020-12967 · Apache · Apache Netbeans

Publicado 2020-09-09 · Atualizado 2021-03-26 · CVE-2020-11986

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Apache NetBeans até a 12.0, inclusive

Descrição

O problema decorre da execução de scripts de compilação para analisar projetos Gradle, procedimento seguido pelo Apache NetBeans. Esse padrão faz com que o código do script de compilação seja chamado no momento do carregamento do projeto. Sem solicitar o consentimento do usuário para a análise do projeto nesse momento, código potencialmente malicioso proveniente de uma fonte externa pode ser executado.

Recomendações

Para versões do Apache NetBeans até a 12.0, inclusive, considere desativar a execução automática de scripts de compilação no momento do carregamento do projeto até que um patch esteja disponível. Restrinja o acesso a fontes externas do projeto para minimizar o risco de exploração.

Correção

Identificadores relacionados

CVE-2020-11986

Produtos afetados

Apache Netbeans

Referências · 12

• https://osv.dev/vulnerability/CVE-2020-11986 · Aviso do Fabricante
• https://lists.apache.org/thread.html/ra81cdcf325bf4ea085c178f95ed6b50d4f1c095be50577b2f9b88984%40%3Cnotifications.netbeans.apache.org%3E · Nota
• https://ubuntu.com/security/CVE-2020-11986 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2020-11986 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-11986 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-11986 · Aviso do Fabricante
• https://lists.apache.org/thread.html/r0fb2ba21a0469f64c2dff945dbe68f7b1122e1bff2b2b46271682406%40%3Cnotifications.netbeans.apache.org%3E · Nota
• https://cve.org/CVERecord?id=CVE-2020-11986 · Nota de Segurança
• https://lists.apache.org/thread.html/rbb8ea1b684e73107a0a6a30245ad6112bec2e6e171368c808e69217e%40%3Cannounce.netbeans.apache.org%3E · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2020-11986 · Aviso do Fabricante
• https://t.me/cvenotify/11985 · Publicação no Telegram
• https://openwall.com/lists/oss-security/2020/09/07/2 · Nota