PT-2021-19881 · Amazon · Amazon Aws

Highshyim

·

Publicado

2021-06-24

·

Atualizado

2022-10-25

·

CVE-2021-32717

CVSS v3.1

7.5

Alta

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Nome do software vulnerável e versões afetadas
Versões do Shopware anteriores à 6.4.1.1
Descrição
O problema diz respeito a arquivos privados que ficam acessíveis publicamente em provedores de armazenamento em nuvem quando a URL com hash é conhecida. Recomenda-se que os usuários alterem sua configuração para definir a visibilidade correta de acordo com a documentação, garantindo que a visibilidade esteja no mesmo nível que type. Para armazenamento salvo na Amazon AWS, recomenda-se desativar o acesso público ao bucket que contém os arquivos privados.
Recomendações
Para resolver o problema, atualize para o Shopware 6.4.1.1 ou instale ou atualize o plugin de segurança e execute o comando ./bin/console s3:set-visibility para corrigir as visibilidades dos arquivos na nuvem.
Como solução temporária, considere alterar a configuração para definir a visibilidade correta de acordo com a documentação.
Quando o armazenamento estiver na Amazon AWS, desative o acesso público ao bucket que contém os arquivos privados.

Correção

Information Disclosure

Incorrect Permission

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2021-32717
GHSA-6GR8-C3M5-MVRG
GHSA-VRF2-XGHR-J52V

Produtos afetados

Amazon Aws