PT-2021-15141 · Google · Slo Generator

Cimihan123 + 1 · Publicado 2021-10-04 · Atualizado 2022-10-25 · CVE-2021-22557

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.8

Média

Vetor base

AV:N/AC:M/Au:N/C:P/I:P/A:P

Nome do software vulnerável e versões afetadas

Versões do SLO Generator anteriores à versão que inclui https://github.com/google/slo-generator/pull/173

Descrição

O SLO Generator apresenta uma falha que permite o carregamento de arquivos YAML. Se esses arquivos forem criados em um formato específico, eles podem possibilitar a execução de código no contexto do SLO Generator.

Recomendações

Atualize o SLO Generator para uma versão posterior à que inclui https://github.com/google/slo-generator/pull/173. Como solução alternativa temporária, considere restringir o carregamento de arquivos YAML ou garantir que eles sejam cuidadosamente validados antes do uso para minimizar o risco de exploração.

Exploit

Correção

Code Injection

OS Command Injection

Enumeração de Fraquezas

CWE-94

CWE-78

Identificadores relacionados

CVE-2021-22557

GHSA-J28R-J54M-GPC4

PYSEC-2021-429

Produtos afetados

Slo Generator

Referências · 13

• 🔥 https://github.com/google/slo-generator/pull/173 · Exploit
• 🔥 http://packetstormsecurity.com/files/164426/Google-SLO-Generator-2.0.0-Code-Execution.html · Exploit
• 🔥 https://exploit-db.com/exploits/50385 · Exploit
• https://github.com/google/slo-generator/commit/36318beab1b85d14bb860e45bea186b184690d5d · Nota
• https://github.com/google/slo-generator/releases/tag/v2.0.1 · Nota
• https://github.com/google/slo-generator · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/slo-generator/PYSEC-2021-429.yaml · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-22557 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-22557 · Aviso do Fabricante
• https://github.com/advisories/GHSA-j28r-j54m-gpc4 · Nota
• https://osv.dev/vulnerability/GHSA-j28r-j54m-gpc4 · Aviso do Fabricante
• https://t.me/cibsecurity/29853 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2021-429 · Aviso do Fabricante