PT-2021-21814 · Unknown · @Asyncapi/Java-Spring-Cloud-Stream-Template

Jonaslagoni · Publicado 2021-08-11 · Atualizado 2021-09-13 · CVE-2021-37694

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.7

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do @asyncapi/java-spring-cloud-stream-template anteriores à 0.7.0

Descrição

A vulnerabilidade permite a injeção de código arbitrário quando um invasor controla o documento AsyncAPI. Isso pode ser feito através da manipulação do campo operationId no documento AsyncAPI, o que pode levar à injeção de código malicioso. Por exemplo, um invasor pode modificar o operationId para incluir código Java malicioso, como test() { System.out.println(“injected”); return test(0); }, que pode ser executado quando o microsserviço é gerado. O esquema components/schemas/CustomClass também pode ser usado para injetar código malicioso.

Recomendações

Para versões anteriores à 0.7.0, atualize para a versão 0.7.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao documento AsyncAPI para impedir que invasores o controlem. Além disso, evite usar o campo operationId para executar código controlado pelo usuário.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2021-37694

GHSA-XJ6R-2JPM-QVXP

Produtos afetados

@Asyncapi/Java-Spring-Cloud-Stream-Template

Referências · 7

• 🔥 https://github.com/asyncapi/java-spring-cloud-stream-template/security/advisories/GHSA-xj6r-2jpm-qvxp · Exploit
• https://github.com/asyncapi/java-spring-cloud-stream-template · Nota
• https://t.me/cvenotify/19153 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-37694 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-xj6r-2jpm-qvxp · Aviso do Fabricante
• https://t.me/cibsecurity/27185 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-37694 · Aviso do Fabricante