PT-2020-7579 · Libnotify · Libnotify

Publicado 2020-02-12 · Atualizado 2020-08-31 · CVE-2013-7381

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões 1.0.3 e anteriores do libnotify

Descrição

A vulnerabilidade permite que invasores remotos executem comandos arbitrários por meio de caracteres não especificados em uma chamada para libnotify.notify(). Isso é resultado de uma vulnerabilidade de injeção de comando de shell, na qual entradas não confiáveis passadas para libnotify.notify() podem resultar na execução de comandos de shell. Os chamadores de libnotify.notify() podem não estar cientes desse risco.

Recomendações

Atualize para a versão 1.0.4 ou superior. Como solução temporária, considere validar e sanitizar qualquer entrada do usuário antes de passá-la para libnotify.notify() para minimizar o risco de exploração. Restrinja o acesso à função libnotify.notify() até que a vulnerabilidade seja resolvida com a atualização para uma versão segura.

Correção

Special Elements Injection

Enumeração de Fraquezas

CWE-74

Identificadores relacionados

CVE-2013-7381

GHSA-6898-WX94-8JQ8

Produtos afetados

Libnotify

Referências · 12

• https://github.com/mytrile/node-libnotify/commit/dfe7801d73a0dda10663a0ff3d0ec8b4d5f0d448 · Correção
• https://github.com/mytrile/node-libnotify · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2013-7381 · Aviso do Fabricante
• https://github.com/lloydwatkin/nodesecurity-advisories/blob/master/advisories/libnotify_potential_command_injection_in_libnotify.notify.md · Nota
• https://cve.org/CVERecord?id=CVE-2013-7381 · Nota de Segurança
• http://openwall.com/lists/oss-security/2014/05/13/1 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2013-7381 · Nota de Segurança
• http://openwall.com/lists/oss-security/2014/05/15/2 · Nota
• https://npmjs.com/advisories/20 · Nota
• https://ubuntu.com/security/CVE-2013-7381 · Aviso do Fabricante
• https://nodesecurity.io/advisories/libnotify_potential_command_injection_in_libnotify.notify · Nota
• https://osv.dev/vulnerability/GHSA-6898-wx94-8jq8 · Aviso do Fabricante