PT-2021-15463 · Unknown · Kill-By-Port

Omnitaint · Publicado 2021-03-30 · Atualizado 2021-04-13 · CVE-2021-23363

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.5

Média

Vetor base

AV:N/AC:L/Au:S/C:P/I:P/A:P

Nome do software vulnerável e versões afetadas

Versões do kill-by-port anteriores à 0.0.2

Descrição

A vulnerabilidade permite que um invasor execute comandos arbitrários caso seja fornecida à função killByPort() uma entrada de usuário controlada pelo invasor. Isso ocorre devido ao uso da função exec do child process sem sanitização da entrada.

Recomendações

Para versões anteriores à 0.0.2, atualize para a versão 0.0.2 ou posterior para resolver o problema. Como solução temporária, considere desativar a função killByPort() até que um patch esteja disponível. Restrinja o acesso à função exec de child process para minimizar o risco de exploração. Evite usar a função killByPort() com entradas de usuário não confiáveis até que o problema seja resolvido.

Exploit

Correção

Command Injection

OS Command Injection

Enumeração de Fraquezas

CWE-77

CWE-78

Identificadores relacionados

CVE-2021-23363

GHSA-MM4F-47CH-F7HX

SNYK-JS-KILLBYPORT-1078531

Produtos afetados

Kill-By-Port

Referências · 8

• 🔥 https://snyk.io/vuln/SNYK-JS-KILLBYPORT-1078531 · Exploit
• https://github.com/GuyMograbi/kill-by-port/commit/ea5b1f377e196a4492e05ff070eba8b30b7372c4 · Correção
• https://github.com/GuyMograbi/kill-by-port/blob/16dcbe264b6b4a5ecf409661b42836dd286fd43f/index.js%23L8 · Nota
• https://github.com/GuyMograbi/kill-by-port/blob/16dcbe264b6b4a5ecf409661b42836dd286fd43f/index.js#23L8 · Nota
• https://github.com/GuyMograbi/kill-by-port · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-23363 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-mm4f-47ch-f7hx · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-23363 · Aviso do Fabricante