PT-2021-7916 · Eclipse · Eclipse Jersey
Publicado
2021-04-22
·
Atualizado
2024-01-12
·
CVE-2021-28168
CVSS v3.1
6.2
Média
| Vetor | AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
Eclipse Jersey, versões 2.28 a 2.33
Eclipse Jersey, versões 3.0.0 a 3.0.1
Descrição
O problema está relacionado à criação de arquivos temporários com permissões inseguras, o que pode permitir que um invasor divulgue informações protegidas. Isso se deve ao uso do método
File.createTempFile, que cria um arquivo no diretório temporário do sistema com permissões que permitem que todos os usuários locais visualizem o conteúdo do arquivo. Se informações confidenciais forem gravadas nesse arquivo, elas poderão ser divulgadas a outros usuários locais.Recomendações
Para as versões 2.28 a 2.33 do Eclipse Jersey, considere atualizar para uma versão fora desse intervalo para mitigar o risco.
Para as versões 3.0.0 a 3.0.1 do Eclipse Jersey, considere atualizar para uma versão fora desse intervalo para mitigar o risco.
Como solução temporária, considere restringir o acesso ao diretório temporário onde os arquivos são criados para minimizar o risco de exploração.
Exploit
Correção
Incorrect Permission
Exposure of Resource to Wrong Sphere
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Eclipse Jersey