PT-2021-19645 · S3Scanner · S3Scanner

Ryotak · Publicado 2021-11-29 · Atualizado 2021-11-30 · CVE-2021-32061

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

**Nome do software vulnerável e versões afetadas:

Versões do S3Scanner anteriores à 2.0.2

Descrição:

A vulnerabilidade permite o acesso a diretórios (Directory Traversal) por meio de um bucket manipulado. Isso pode ser demonstrado por uma subcadeia <Key>../ em um elemento ListBucketResult.

Recomendações:

Para versões anteriores à 2.0.2, atualize para a versão 2.0.2 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso a buckets criados especificamente que possam conter a subcadeia <Key>../ no elemento ListBucketResult até que um patch seja aplicado.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2021-32061

GHSA-QPPG-V75C-R5FF

PYSEC-2021-433

Produtos afetados

S3Scanner

Referências · 11

• https://github.com/sa7mon/S3Scanner/issues/122 · Nota
• https://github.com/sa7mon/S3Scanner/releases/tag/2.0.2 · Nota
• https://github.com/sa7mon/S3Scanner · Nota
• https://github.com/sa7mon/S3Scanner/commit/fafa30a3bd35b496b3f7db9bfc35b75a8a06bcd1 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/s3scanner/PYSEC-2021-433.yaml · Nota
• https://osv.dev/vulnerability/CVE-2021-32061 · Aviso do Fabricante
• https://github.com/advisories/GHSA-qppg-v75c-r5ff · Nota
• https://osv.dev/vulnerability/GHSA-qppg-v75c-r5ff · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-32061 · Nota de Segurança
• https://vuln.ryotak.me/advisories/62 · Nota
• https://osv.dev/vulnerability/PYSEC-2021-433 · Aviso do Fabricante