PT-2021-11413 · R · R

Chris Davis + 1 · Publicado 2021-01-12 · Atualizado 2024-01-06 · CVE-2020-27637

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

**Nome do software vulnerável e versões afetadas:

Versões do R anteriores à 4.0.3

Descrição:

O CRAN, gerenciador de pacotes padrão da linguagem de programação R, está afetado por uma vulnerabilidade de traversal de caminho que pode levar ao comprometimento do servidor. Essa vulnerabilidade afeta pacotes instalados por meio do comando de linha de comando R CMD install ou da função install.packages() no interpretador.

Recomendações:

Atualize para a versão 4.0.3 para resolver o problema. Como solução temporária, considere restringir o uso da função install.packages() e do comando R CMD install até que a atualização seja aplicada.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2020-27637

Produtos afetados

R

Referências · 12

• 🔥 https://labs.bishopfox.com/advisories/cran-version-4.0.2 · Exploit
• https://osv.dev/vulnerability/DEBIAN-CVE-2020-27637 · Aviso do Fabricante
• https://t.me/cibsecurity/21919 · Publicação no Telegram
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-27637 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2020-27637 · Aviso do Fabricante
• https://t.me/cvenotify/66487 · Publicação no Telegram
• https://cve.org/CVERecord?id=CVE-2020-27637 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-27637 · Aviso do Fabricante
• https://r-project.org/foundation · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2020-27637 · Aviso do Fabricante
• https://security.gentoo.org/glsa/202401-07 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-27637 · Nota de Segurança