PT-2021-23961 · Patrowl · Patrowl

Ktg9 + 1 · Publicado 2021-12-14 · Atualizado 2021-12-17 · CVE-2021-43829

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Versões do PatrOwl anteriores à 1.7.7

Descrição:

O problema afeta o PatrOwl, uma solução gratuita e de código aberto para orquestrar operações de segurança. Nas versões afetadas, o PatrowlManager processa arquivos enviados no recurso de importação de resultados sem as restrições adequadas. Isso permite o envio de tipos de arquivos perigosos para o servidor, podendo levar a ataques XSS e outras formas de injeção de código.

Recomendações:

Para versões anteriores à 1.7.7, atualize para a versão 1.7.7 o mais rápido possível para resolver o problema.

No momento, não há informações sobre outras soluções alternativas para este problema.

Exploit

Correção

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2021-43829

GHSA-5HC9-6HQ4-2XFX

Produtos afetados

Patrowl

Referências · 6

• 🔥 https://huntr.dev/bounties/17324785-f83a-4058-ac40-03f2bfa16399 · Exploit
• https://github.com/Patrowl/PatrowlManager/security/advisories/GHSA-5hc9-6hq4-2xfx · Nota
• https://github.com/Patrowl/PatrowlManager/commit/2287c9715d2e7ef11b44bb0ad4a57727654f2203 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2021-43829 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-43829 · Aviso do Fabricante
• https://t.me/cibsecurity/33970 · Publicação no Telegram