PT-2021-6838 · Glance+3 · Glance+3

Unknown · Publicado 2021-07-29 · Atualizado 2022-07-25 · CVE-2021-23418

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do Glances anteriores à 3.2.1

Descrição

O problema está relacionado à restrição incorreta de links XML para objetos externos, o que pode ser explorado por um invasor remoto para obter acesso a dados confidenciais, comprometer sua integridade e causar uma negação de serviço. A vulnerabilidade se deve ao uso do Fault para analisar dados XML não confiáveis, tornando-o suscetível a ataques de injeção de entidade externa XML (XXE).

Recomendações

Para versões do Glances anteriores à 3.2.1, atualize para a versão 3.2.1 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o uso do componente Fault para analisar dados XML não confiáveis até que um patch esteja disponível. Evite usar a função Fault para analisar dados XML não confiáveis nos pontos de extremidade da API afetados até que o problema seja resolvido.

Exploit

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

ALT-PU-2021-2545

ALT-PU-2021-3612

ALT-PU-2022-2255

BDU:2022-02263

CVE-2021-23418

GHSA-R2MJ-8WGQ-73M6

PYSEC-2021-115

SNYK-PYTHON-GLANCES-1311807

USN-5187-1

Produtos afetados

Alt Linux

Linuxmint

Ubuntu

Glance

Referências · 24

• 🔥 https://github.com/nicolargo/glances/issues/1025 · Exploit
• https://github.com/nicolargo/glances · Nota
• https://github.com/nicolargo/glances/commit/4b87e979afdc06d98ed1b48da31e69eaa3a9fb94 · Correção
• https://github.com/nicolargo/glances/commit/9d6051be4a42f692392049fdbfc85d5dfa458b32 · Correção
• https://github.com/nicolargo/glances/commit/85d5a6b4af31fcf785d5a61086cbbd166b40b07a · Correção
• https://github.com/pypa/advisory-database/tree/main/vulns/glances/PYSEC-2021-115.yaml · Nota
• https://bdu.fstec.ru/vul/2022-02263 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-23418 · Aviso do Fabricante
• https://snyk.io/vuln/SNYK-PYTHON-GLANCES-1311807 · Correção
• https://osv.dev/vulnerability/DEBIAN-CVE-2021-23418 · Aviso do Fabricante
• https://osv.dev/vulnerability/USN-5187-1 · Aviso do Fabricante
• https://t.me/cvenotify/18337 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-r2mj-8wgq-73m6 · Aviso do Fabricante
• https://t.me/cvenotify/18727 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-23418 · Aviso do Fabricante