PT-2021-15452 · Unknown · Portprocesses

Omnitaint · Publicado 2021-03-31 · Atualizado 2021-04-06 · CVE-2021-23348

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do portprocesses anteriores à 1.0.5

Descrição

A vulnerabilidade permite que um invasor execute comandos arbitrários caso seja fornecida à função killProcess uma entrada de usuário controlada pelo invasor. Isso ocorre devido ao uso da função exec do child process sem sanitização da entrada.

Recomendações

Para versões anteriores à 1.0.5, atualize para a versão 1.0.5 ou posterior para resolver o problema. Como solução temporária, considere desativar a função killProcess até que um patch esteja disponível. Restrinja o acesso à função exec do child process para minimizar o risco de exploração. Evite usar entradas de usuário não sanitizadas na função killProcess até que o problema seja resolvido.

Exploit

Correção

Command Injection

OS Command Injection

Enumeração de Fraquezas

CWE-77

CWE-78

Identificadores relacionados

CVE-2021-23348

GHSA-VM67-7VMG-66VM

SNYK-JS-PORTPROCESSES-1078536

Produtos afetados

Portprocesses

Referências · 7

• 🔥 https://github.com/rrainn/PortProcesses/security/advisories/GHSA-vm67-7vmg-66vm · Exploit
• 🔥 https://snyk.io/vuln/SNYK-JS-PORTPROCESSES-1078536 · Exploit
• https://github.com/rrainn/PortProcesses/commit/86811216c9b97b01b5722f879f8c88a7aa4214e1 · Correção
• https://github.com/rrainn/PortProcesses/blob/fffceb09aff7180afbd0bd172e820404b33c8299/index.js%23L23 · Nota
• https://osv.dev/vulnerability/GHSA-vm67-7vmg-66vm · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-23348 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-23348 · Aviso do Fabricante