PT-2021-19821 · Emissary · Emissary

Pwntester · Publicado 2021-05-21 · Atualizado 2021-05-28 · CVE-2021-32634

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Emissary versão 6.4.0

Descrição

O Emissary é uma estrutura de fluxo de trabalho distribuída, ponto a ponto e orientada a dados. O problema está relacionado à deserialização insegura de solicitações pós-autenticação para o endpoint REST “WorkSpaceClientEnqueue.action”, o que pode levar à execução remota de código pós-autenticação.

Recomendações

Para a versão 6.4.0 do Emissary, atualize para a versão 6.5.0 para resolver o problema.

Como solução alternativa temporária, considere desativar o acesso de rede ao Emissary a partir de fontes não confiáveis.

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2021-32634

GHSA-M5QF-GFMP-7638

Produtos afetados

Emissary

Referências · 6

• https://github.com/NationalSecurityAgency/emissary · Nota
• https://github.com/NationalSecurityAgency/emissary/security/advisories/GHSA-m5qf-gfmp-7638 · Nota
• https://github.com/NationalSecurityAgency/emissary/commit/40260b1ec1f76cc92361702cc14fa1e4388e19d7 · Correção
• https://osv.dev/vulnerability/CVE-2021-32634 · Aviso do Fabricante
• https://t.me/cvenotify/15165 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-32634 · Nota de Segurança