PT-2022-14895 · Unknown · Font-Converter

Omnitaint · Publicado 2022-08-29 · Atualizado 2023-08-08 · CVE-2022-21165

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Todas as versões do font-converter

Descrição

O problema está relacionado à injeção arbitrária de comandos devido à falta de sanitização de entradas que podem ser encaminhadas para a função child process.exec(). Isso afeta um wrapper do FontForge usado para a conversão entre diferentes formatos de fonte, incluindo TTF, WOFF e OTF.

Recomendações

Para todas as versões, considere desativar o uso da função child process.exec() até que um patch esteja disponível. Restrinja as entradas para evitar uma possível injeção de comando. Evite usar entradas não sanitizadas no pacote font-converter para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

CVE-2022-21165

GHSA-G2C3-VWFF-M3XR

Produtos afetados

Font-Converter

Referências · 8

• 🔥 https://security.snyk.io/vuln/SNYK-JS-FONTCONVERTER-2976194 · Exploit
• https://github.com/zgec/node-js-font-converter/blob/master/index.js#L12 · Nota
• https://github.com/zgec/node-js-font-converter · Nota
• https://github.com/zgec/node-js-font-converter/blob/master/index.js%23L12 · Nota
• https://t.me/cvenotify/35301 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-21165 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-21165 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-g2c3-vwff-m3xr · Aviso do Fabricante