PT-2021-11539 · Amazon · @Aws-Sdk/Shared-Ini-File-Loader+1
Eugene Lim
·
Publicado
2021-01-19
·
Atualizado
2021-11-16
·
CVE-2020-28472
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
**Nome do software vulnerável e versões afetadas:
Versões do @aws-sdk/shared-ini-file-loader anteriores à 1.0.0-rc.9
Versões do aws-sdk anteriores à 2.814.0
Descrição:
O problema ocorre quando um invasor envia um arquivo INI malicioso para uma aplicação que o analisa com
loadSharedConfigFiles. Isso pode levar à contaminação de protótipos no aplicativo, o que pode ser explorado posteriormente, dependendo do contexto.Recomendações:
Para versões do @aws-sdk/shared-ini-file-loader anteriores à 1.0.0-rc.9, atualize para a versão 1.0.0-rc.9 ou posterior.
Para versões do aws-sdk anteriores à 2.814.0, atualize para a versão 2.814.0 ou posterior.
Como solução alternativa temporária, considere restringir o uso da função
loadSharedConfigFiles até que um patch esteja disponível.Exploit
Correção
Prototype Pollution
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
@Aws-Sdk/Shared-Ini-File-Loader
Aws Sdk