PT-2022-11758 · Anaconda3 · Anaconda3

CVE-2021-42969 · Publicado 2022-05-13 · Atualizado 2024-02-14

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.3

Alta

Vetor base

AV:N/AC:M/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Anaconda3 versão 2021.05

Descrição

O problema diz respeito à injeção de comandos do sistema operacional. Quando um usuário instala o Anaconda, um invasor pode criar um novo arquivo e gravar conteúdo no usercustomize.py. Isso permite a execução de comandos quando o usuário abre o terminal ou ativa o Anaconda.

Recomendações

Para o Anaconda3 versão 2021.05, considere restringir o acesso ao arquivo usercustomize.py para impedir modificações não autorizadas até que uma correção esteja disponível. Como solução temporária, evite usar o arquivo usercustomize.py para personalizações até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

RCE

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

BIT-MINICONDA-2021-42969

CVE-2021-42969

Produtos afetados

Anaconda3

Referências · 5

• 🔥 https://yuaneuro.cn/anaconda/anaconda_command_execution.docx · Exploit
• https://t.me/cibsecurity/42632 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-42969 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-miniconda-2021-42969 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-42969 · Aviso do Fabricante