PT-2022-11752 · Zepl · Zepl Notebooks

Ghost + 1 · Publicado 2022-03-03 · Atualizado 2022-03-10 · CVE-2021-42950

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Zepl Notebooks anteriores a 25 de outubro de 2021

Descrição

Existe uma vulnerabilidade de execução remota de código (RCE) que permite que usuários mal-intencionados criem novos Zepl Notebooks com código malicioso especialmente criado, o que pode, então, iniciar a execução remota de código. Isso ocorre após um usuário se autenticar e criar uma nova organização, ativando recursos de colaboração e a adição de usuários. A vulnerabilidade é explorada através da criação de um novo notebook com código malicioso.

Recomendações

Para versões do Zepl Notebooks anteriores a 25 de outubro de 2021, atualize para uma versão lançada após 25 de outubro de 2021 para resolver a vulnerabilidade. Como solução alternativa temporária, considere restringir a criação de novos notebooks e limitar os recursos de colaboração para minimizar o risco de exploração.

Correção

Identificadores relacionados

CVE-2021-42950

Produtos afetados

Zepl Notebooks

Referências · 7

• https://nvd.nist.gov/vuln/detail/CVE-2021-42950 · Nota de Segurança
• https://t.me/cvenotify/27648 · Publicação no Telegram
• http://zepl.com · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-42950 · Aviso do Fabricante
• https://t.me/cvenotify/27687 · Publicação no Telegram
• https://t.me/cibsecurity/38342 · Publicação no Telegram
• https://seclists.org/fulldisclosure/2022/Feb/31 · Nota