PT-2020-14222 · Openai · Openapi-Python-Client

Dbanty + 2 · Publicado 2020-08-14 · Atualizado 2020-08-20 · CVE-2020-15142

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.0

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do openapi-python-client anteriores à 0.5.3

Descrição

A vulnerabilidade permite que clientes gerados a partir de um documento OpenAPI criado de forma maliciosa gerem código Python arbitrário, levando à execução de código arbitrário quando o cliente malicioso é executado.

Recomendações

Para versões anteriores à 0.5.3, atualize para a versão 0.5.3 para resolver o problema.

Como solução alternativa temporária, considere inspecionar os documentos OpenAPI antes de gerar clientes ou inspecionar o código gerado antes de executá-lo para minimizar o risco de exploração.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2020-15142

GHSA-9X4C-63PF-525F

PYSEC-2020-71

Produtos afetados

Openapi-Python-Client

Referências · 12

• https://github.com/triaxtec/openapi-python-client/commit/f7a56aae32cba823a77a84a1f10400799b19c19a · Correção
• https://github.com/triaxtec/openapi-python-client/security/advisories/GHSA-9x4c-63pf-525f · Nota
• https://github.com/triaxtec/openapi-python-client/blob/main/CHANGELOG.md#053---2020-08-13 · Nota
• https://github.com/openapi-generators/openapi-python-client/releases/tag/v.0.5.3 · Nota
• https://github.com/openapi-generators/openapi-python-client/commit/f7a56aae32cba823a77a84a1f10400799b19c19a · Nota
• https://github.com/openapi-generators/openapi-python-client · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/openapi-python-client/PYSEC-2020-71.yaml · Nota
• https://osv.dev/vulnerability/GHSA-9x4c-63pf-525f · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-15142 · Aviso do Fabricante
• https://pypi.org/project/openapi-python-client · Nota
• https://osv.dev/vulnerability/PYSEC-2020-71 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-15142 · Nota de Segurança