PT-2020-4064 · Clamav · Clamscan
Publicado
2020-04-07
·
Atualizado
2022-05-24
·
CVE-2020-7613
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
**Nome do software vulnerável e versões afetadas:
versões do clamscan anteriores à 1.2.1
Descrição:
O problema está relacionado a uma vulnerabilidade de injeção de comando. É possível injetar comandos arbitrários como parte da função
is clamav binary localizada no arquivo Index.js. Essa vulnerabilidade requer que seja criada uma pasta com o mesmo comando que será acionado para execução, o que reduz o risco desse problema. A vulnerabilidade existe devido à falta de medidas para neutralizar elementos especiais, permitindo que um invasor remoto execute comandos arbitrários.Recomendações:
Para versões do clamscan anteriores à 1.2.1, como solução temporária, considere desativar a função
is clamav binary até que um patch esteja disponível. Restrinja o acesso ao arquivo Index.js para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.Exploit
Special Elements Injection
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Clamscan