PT-2021-22111 · Antilles · Antilles

Kotko Vladyslav · Publicado 2021-11-03 · Atualizado 2021-11-17 · CVE-2021-3840

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Antilles anteriores à 1.0.1

Descrição

Um problema de confusão de dependências permite a execução remota de código durante a instalação, devido a um pacote listado em requirements.txt não existir no índice público de pacotes (PyPi). Isso é classificado como um Elemento de Caminho de Pesquisa Não Controlado, em que uma dependência de pacote privado pode ser substituída por um pacote não autorizado com o mesmo nome publicado em um repositório público conhecido, como o PyPi. A configuração foi atualizada para instalar apenas componentes criados pelo Antilles, removendo todos os outros índices de pacotes públicos, e a dependência antilles-tools foi publicada no PyPi.

Recomendações

Atualize para a versão 1.0.1 ou posterior como medida de precaução e remova as versões anteriores do Antilles.

Correção

Uncontrolled Search Path Element

Enumeração de Fraquezas

CWE-427

Identificadores relacionados

CVE-2021-3840

GHSA-HGC3-HP6X-WPGX

PYSEC-2021-840

Produtos afetados

Antilles

Referências · 9

• https://github.com/pypa/advisory-database/tree/main/vulns/antilles-tools/PYSEC-2021-840.yaml · Nota
• https://github.com/lenovo/Antilles/security/advisories/GHSA-hgc3-hp6x-wpgx · Correção
• https://github.com/lenovo/Antilles · Nota
• https://github.com/lenovo/Antilles/commit/c7b9c5740908b343aceefe69733d9972e64df0b9 · Nota
• https://osv.dev/vulnerability/CVE-2021-3840 · Aviso do Fabricante
• https://t.me/cvenotify/23366 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-3840 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-hgc3-hp6x-wpgx · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2021-840 · Aviso do Fabricante