PT-2022-15045 · Unknown · Onionshare

Micahflee · Publicado 2022-01-18 · Atualizado 2024-06-15 · CVE-2022-21693

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

OnionShare (versões afetadas não especificadas)

Descrição

O OnionShare é uma ferramenta de código aberto que permite compartilhar arquivos de forma segura e anônima, hospedar sites e conversar com amigos usando a rede Tor. Nas versões afetadas, um invasor com uma vulnerabilidade que permite o acesso ao sistema de arquivos a partir do contexto do processo do OnionShare pode acessar arquivos confidenciais em toda a pasta pessoal do usuário. Isso pode levar ao vazamento de dados confidenciais. Devido à exclusão automática de pastas ocultas, o impacto é reduzido.

Recomendações

• Reduza o acesso de leitura na configuração do Flatpak.
• Use a versão do Flatpak para mitigar o problema.
• Restrinja o acesso a arquivos confidenciais na pasta pessoal do usuário até que um patch esteja disponível.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2022-21693

GHSA-JGM9-XPFJ-4FQ6

OPENSUSE-SU-2024:11983-1

OPENSUSE-SU-2024:13635-1

PYSEC-2022-44

Produtos afetados

Onionshare

Referências · 29

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/21xxx/CVE-2022-21693.json · Exploit
• https://github.com/onionshare/onionshare/releases/tag/v2.5 · Nota
• https://github.com/onionshare/onionshare/security/advisories/GHSA-jgm9-xpfj-4fq6 · Nota
• https://github.com/onionshare/onionshare · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/onionshare-cli/PYSEC-2022-44.yaml · Nota
• https://cve.org/CVERecord?id=CVE-2022-21693 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2022-21693 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2022-21693 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2022-21688 · Nota
• https://osv.dev/vulnerability/GHSA-jgm9-xpfj-4fq6 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2022-21690 · Nota
• https://osv.dev/vulnerability/openSUSE-SU-2024:13635-1 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-21693 · Nota de Segurança
• https://t.me/cvenotify/25628 · Publicação no Telegram
• https://suse.com/security/cve/CVE-2022-21696 · Nota