PT-2021-22005 · Go-Unarr · Go-Unarr

Th1Nkkk · Publicado 2021-08-08 · Atualizado 2024-08-21 · CVE-2021-38197

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

**Nome do software vulnerável e versões afetadas:

go-unarr versão 0.1.1

Descrição:

A vulnerabilidade permite o traversal de diretórios por meio de ../ em um caminho dentro de um arquivo TAR. Isso é possível devido a uma falha no arquivo unarr.go do go-unarr.

Recomendações:

Para a versão 0.1.1 do go-unarr, considere restringir o manuseio de arquivos TAR para evitar ataques de traversal de diretório até que um patch esteja disponível. Como solução temporária, considere validar e sanitizar nomes de caminho dentro de arquivos TAR para impedir que sequências ../ sejam processadas. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2021-38197

GHSA-V9J4-CP63-QV62

GO-2022-0929

Produtos afetados

Go-Unarr

Referências · 9

• 🔥 https://github.com/gen2brain/go-unarr/issues/21 · Exploit
• https://github.com/gen2brain/go-unarr/releases/tag/v0.1.4 · Nota
• https://github.com/gen2brain/go-unarr/commit/239ec404d348280b50bbf671327709e8857fc5f4 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-38197 · Nota de Segurança
• https://t.me/cvenotify/18868 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-38197 · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2022-0929 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-v9j4-cp63-qv62 · Aviso do Fabricante
• https://github.com/advisories/GHSA-v9j4-cp63-qv62 · Nota