PT-2021-6526 · Bracket · Racket
Samth
·
Publicado
2021-07-19
·
Atualizado
2021-07-29
·
CVE-2021-32773
CVSS v2.0
7.8
Alta
| Vetor | AV:N/AC:L/Au:N/C:N/I:C/A:N |
Nome do software vulnerável e versões afetadas
Versões do Racket anteriores à 8.2
Descrição
O problema diz respeito ao código avaliado usando a sandbox do Racket, o que poderia fazer com que os módulos do sistema utilizassem incorretamente módulos criados pelo invasor, em vez de suas dependências pretendidas. Isso poderia permitir que funções do sistema fossem controladas pelo invasor, concedendo acesso a recursos que deveriam ser restritos. Uma solução alternativa está disponível, dependendo das configurações do sistema, como o uso de sandboxing externo, por exemplo, contêineres, para limitar o impacto. No entanto, para sistemas de avaliação multiusuário, é necessária uma atualização.
Recomendações
Para versões anteriores à 8.2, atualize para a versão 8.2 do Racket para resolver o problema.
Como solução temporária para sistemas que oferecem avaliação arbitrária do Racket, considere o uso de sandboxing externo, como contêineres, para limitar o impacto do problema.
Para sistemas de avaliação multiusuário, como o sistema
handin-server, é necessária a atualização para a versão 8.2 do Racket, pois não é possível contornar esse problema.Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Racket