PT-2021-22010 · Unknown · Cbioportal

Ghost · Publicado 2021-12-16 · Atualizado 2021-12-20 · CVE-2021-38244

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

**Nome do software vulnerável e versões afetadas:

cbioportal versões 3.6.21 e anteriores

Descrição:

Existe uma vulnerabilidade de negação de serviço por expressão regular (ReDoS) por meio de uma solicitação POST para “/ProteinArraySignificanceTest.json”. Isso permite um ataque de negação de serviço.

Recomendações:

Para as versões 3.6.21 e anteriores, como solução temporária, considere restringir o acesso ao endpoint “/ProteinArraySignificanceTest.json” até que uma correção esteja disponível. Evite usar esse endpoint em ambientes de produção para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esse problema.

Exploit

Correção

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-770

Identificadores relacionados

CVE-2021-38244

Produtos afetados

Cbioportal

Referências · 5

• 🔥 https://github.com/cBioPortal/cbioportal/issues/8680 · Exploit
• https://github.com/cBioPortal/cbioportal/pull/8751 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-38244 · Nota de Segurança
• https://t.me/cibsecurity/34159 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-38244 · Aviso do Fabricante