PT-2021-23129 · Tough · Tough

Jkuf · Publicado 2021-10-19 · Atualizado 2021-10-25 · CVE-2021-41149

Positive Technologies (AI Summary) · Pt

CVSS v2.0

8.5

Alta

Vetor base

AV:N/AC:L/Au:S/C:N/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do tough anteriores à 0.12.0

Descrição

A biblioteca tough não sanitiza adequadamente os nomes dos alvos ao armazenar em cache um repositório ou ao salvar alvos específicos em um diretório de saída. Isso poderia permitir que arquivos fossem sobrescritos com conteúdo arbitrário em qualquer ponto do sistema.

Recomendações

Para versões anteriores à 0.12.0, atualize para a versão 0.12.0 para resolver o problema.

No momento, não há informações sobre outras soluções alternativas para este problema.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2021-41149

GHSA-X3R5-Q6MJ-M485

Produtos afetados

Tough

Referências · 7

• https://github.com/awslabs/tough · Nota
• https://github.com/awslabs/tough/commit/1809b9bd1106d78a51fbea3071aa97a3530bac9a · Correção
• https://github.com/awslabs/tough/security/advisories/GHSA-x3r5-q6mj-m485 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-41149 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-41149 · Aviso do Fabricante
• https://t.me/cibsecurity/30832 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-x3r5-q6mj-m485 · Aviso do Fabricante