PT-2021-17918 · Unknown · Swift Development Environment

Ryotak · Publicado 2021-03-18 · Atualizado 2021-04-26 · CVE-2021-28792

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Extensão do ambiente de desenvolvimento Swift, versão 2.12.0 e anteriores

Descrição:

A vulnerabilidade permite que invasores remotos executem código arbitrário ao criar um espaço de trabalho malicioso com valores de configuração manipulados, incluindo sourcekit-lsp.serverPath, swift.languageServerPath, swift.path.sourcekite, swift.path.sourcekiteDockerMode, swift.path.swift driver bin ou swift.path.shell, o que aciona a execução ao abrir o espaço de trabalho.

Recomendações:

Para versões anteriores à 2.12.1, atualize para a versão 2.12.1 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o uso dos valores de configuração vulneráveis até que um patch seja aplicado. Evite usar os parâmetros sourcekit-lsp.serverPath, swift.languageServerPath, swift.path.sourcekite, swift.path.sourcekiteDockerMode, swift.path.swift driver bin ou swift.path.shell na configuração do espaço de trabalho afetado até que o problema seja resolvido.

Correção

Identificadores relacionados

CVE-2021-28792

Produtos afetados

Swift Development Environment

Referências · 6

• https://github.com/vknabel/vscode-swift-development-environment/releases/tag/2.12.1 · Nota
• https://vuln.ryotak.me/advisories/14 · Nota
• https://osv.dev/vulnerability/CVE-2021-28792 · Aviso do Fabricante
• https://t.me/cvenotify/12623 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-28792 · Nota de Segurança
• https://t.me/cibsecurity/25130 · Publicação no Telegram