PT-2021-7421 · Keybase · Keybase Client For Windows

M4T35Z

·

Publicado

2021-11-09

·

Atualizado

2021-11-16

·

CVE-2021-34422

CVSS v3.1

9.0

Crítica

VetorAV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Keybase Client para Windows, versões anteriores à 5.7.0
Descrição
O problema está relacionado a uma vulnerabilidade de traversal de caminho ao verificar o nome de um arquivo enviado para uma pasta de equipe. Um usuário mal-intencionado poderia enviar um arquivo para uma pasta compartilhada com um nome de arquivo especialmente criado, permitindo potencialmente que um usuário execute um aplicativo não pretendido em sua máquina host. Isso poderia levar à execução remota de código, especialmente se o recurso de compartilhamento de pastas públicas do cliente Keybase for explorado.
Recomendações
Para versões anteriores à 5.7.0, atualize para a versão 5.7.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso a pastas compartilhadas e limitar a capacidade de enviar arquivos com nomes especialmente criados até que a atualização seja aplicada.

Correção

Path traversal

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BDU:2022-06097
CVE-2021-34422

Produtos afetados

Keybase Client For Windows