PT-2022-16012 · Galaxy · Galaxy

Ghepardo · Publicado 2022-12-06 · Atualizado 2022-12-08 · CVE-2022-23470

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões 22.01 e superiores do Galaxy

Descrição

O Galaxy é uma plataforma de código aberto para análise de dados. Existe uma vulnerabilidade de leitura de arquivo arbitrário devido à migração para o Gunicorn, que pode ser usada para ler qualquer arquivo acessível ao usuário do sistema operacional no qual o Galaxy está sendo executado. Esse problema é mitigado ao usar o Nginx ou o Apache para servir o conteúdo de /static/*, em vez do middleware interno do Galaxy.

Recomendações

Para as versões 22.01 e superiores do Galaxy, recomenda-se que os usuários apliquem manualmente o patch em suas instalações usando o commit e5e6bda4f. Como solução alternativa temporária, considere usar o Nginx ou o Apache para servir o conteúdo de /static/* em vez do middleware interno do Galaxy, a fim de minimizar o risco de exploração.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2022-23470

GHSA-GRJF-2GHX-Q77X

Produtos afetados

Galaxy

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/23xxx/CVE-2022-23470.json · Exploit
• https://github.com/galaxyproject/galaxy/security/advisories/GHSA-grjf-2ghx-q77x · Correção
• https://github.com/galaxyproject/galaxy/commit/e5e6bda4f014f807ca77ee0cf6af777a55918346 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2022-23470 · Nota de Segurança
• https://t.me/cvenotify/39452 · Publicação no Telegram
• https://t.me/cibsecurity/54075 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-23470 · Aviso do Fabricante