PT-2021-15550 · Kataras+1 · Iris+1

Kirill Efimov

·

Publicado

2021-12-24

·

Atualizado

2022-07-15

·

CVE-2021-23772

CVSS v3.1

7.5

Alta

VetorAV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
**Nome do software vulnerável e versões afetadas:
github.com/kataras/iris versões anteriores à versão corrigida
github.com/kataras/iris/v12 versões anteriores à versão corrigida
Descrição:
O problema decorre do tratamento inseguro de nomes de arquivos durante o upload utilizando o método UploadFormFiles, o que pode permitir que invasores gravem em locais arbitrários fora da pasta de destino designada. Essa vulnerabilidade pode ser explorada por meio de ataques de traversal de diretório. A função Context.UploadFormFiles é especificamente vulnerável a esse tipo de ataque. Observa-se que essa vulnerabilidade foi mitigada nas versões 1.17 e posteriores do Go, pois elas removem os caminhos de diretório dos nomes de arquivo retornados por mime/multipart.Part.FileName.
Recomendações:
Para versões do github.com/kataras/iris anteriores à versão corrigida, considere desativar o método UploadFormFiles até que um patch esteja disponível.
Para versões do github.com/kataras/iris/v12 anteriores à versão corrigida, considere desativar o método UploadFormFiles até que um patch esteja disponível.
Como solução alternativa temporária, restrinja o tratamento de uploads de arquivos para impedir a gravação em locais arbitrários fora da pasta de destino designada.

Exploit

Correção

Link Following

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2021-23772
GHSA-JCXC-RH6W-WF49
GO-2022-0272
SNYK-GOLANG-GITHUBCOMKATARASIRIS-2325169
SNYK-GOLANG-GITHUBCOMKATARASIRISV12-2325170

Produtos afetados

Go
Iris