PT-2021-18134 · Unknown · Erlang/Otp

Tim Morgan · Publicado 2021-04-09 · Atualizado 2021-04-20 · CVE-2021-29221

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.0

Alta

Vetor base

AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Versões do Erlang/OTP anteriores à 23.2.3

Descrição:

Foi detectada uma vulnerabilidade de escalonamento de privilégios locais. Ao adicionar arquivos ao diretório de uma instalação existente, um invasor local poderia assumir o controle de contas de outros usuários que executam programas Erlang ou, possivelmente, forçar um serviço em execução com o “erlsrv.exe” a executar código arbitrário como “Local System”. Isso pode ocorrer apenas sob condições específicas no Windows com permissões inseguras do sistema de arquivos.

Recomendações:

Para versões anteriores à 23.2.3, atualize para a versão 23.2.3 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao diretório de instalação do Erlang para impedir adições não autorizadas de arquivos. Além disso, certifique-se de que permissões seguras do sistema de arquivos estejam em vigor para minimizar o risco de exploração.

Exploit

Correção

Untrusted Search Path

Enumeração de Fraquezas

CWE-426

Identificadores relacionados

CVE-2021-29221

Produtos afetados

Erlang/Otp

Referências · 5

• 🔥 https://deepsurface.com/deepsurface-security-advisory-local-privilege-escalation-in-erlang-on-windows-cve-2021-29221 · Exploit
• https://github.com/erlang/otp/releases/tag/OTP-23.2.3 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-29221 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-29221 · Aviso do Fabricante
• https://t.me/cvenotify/13018 · Publicação no Telegram