PT-2020-20572 · Netflix · Netflix Titus

Pwntester · Publicado 2020-07-14 · Atualizado 2021-07-21 · CVE-2020-9297

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Netflix Titus anteriores à v0.1.1-rc.274

Descrição

O problema diz respeito ao uso de validadores de restrições personalizados do Java Bean Validation no Netflix Titus. Isso permite a injeção de dados arbitrários em modelos de mensagens de erro, o que pode levar à execução de código Java arbitrário se um invasor conseguir injetar dados no modelo passado para o argumento ConstraintValidatorContext.buildConstraintViolationWithTemplate(). Isso se deve ao suporte a vários tipos de interpolação, incluindo expressões Java EL, ao criar mensagens de erro de violação de restrição personalizadas.

Recomendações

Para versões do Netflix Titus anteriores à v0.1.1-rc.274, atualize para a versão v0.1.1-rc.274 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir os dados de entrada que podem ser injetados no modelo de mensagem de erro para minimizar o risco de exploração.

Correção

Enumeração de Fraquezas

CWE-917

Identificadores relacionados

CVE-2020-9297

Produtos afetados

Netflix Titus

Referências · 3

• https://github.com/Netflix/security-bulletins/blob/master/advisories/nflx-2020-002.md · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2020-9297 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-9297 · Aviso do Fabricante