PT-2020-19669 · Ibm · Apiconnect-Cli-Plugins

Publicado 2020-04-06 · Atualizado 2021-07-21 · CVE-2020-7633

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

apiconnect-cli-plugins versões 6.0.1 e anteriores

Descrição

A vulnerabilidade permite a execução de comandos arbitrários por meio do argumento pluginUri, possibilitando a injeção de comandos. Isso pode ser explorado passando uma entrada maliciosa para a função installPlugin(pluginUri, registryUri), localizada no arquivo lib/plugin-loader.js. O número estimado de dispositivos potencialmente afetados em todo o mundo não foi especificado.

Recomendações

Para as versões 6.0.1 e anteriores do apiconnect-cli-plugins, considere desativar a função installPlugin() até que um patch esteja disponível para prevenir ataques de injeção de comando. Restrinja o acesso ao argumento pluginUri para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2020-7633

GHSA-C9M9-48PW-6MPV

SNYK-JS-APICONNECTCLIPLUGINS-564427

Produtos afetados

Apiconnect-Cli-Plugins

Referências · 8

• 🔥 https://snyk.io/vuln/SNYK-JS-APICONNECTCLIPLUGINS-564427 · Exploit
• https://openbase.io/js/apiconnect-cli-plugins · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-7633 · Nota de Segurança
• https://openbase.com/js/apiconnect-cli-plugins · Nota
• https://osv.dev/vulnerability/GHSA-c9m9-48pw-6mpv · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-7633 · Aviso do Fabricante
• https://web.archive.org/web/20211209115530/https://openbase.com/js/apiconnect-cli-plugins · Nota
• https://t.me/cvenotify/2425 · Publicação no Telegram