PT-2022-16699 · Microsoft+2 · Visual Studio+3

Ron Masas · Publicado 2022-11-30 · Atualizado 2024-10-27 · CVE-2022-24441

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Snyk anteriores à 1.1064.0

Versões do VS Code anteriores à 1.9.0

Versões do IntelliJ anteriores à 2.4.48

Versões do Visual Studio anteriores à 1.1.31

Versões do Eclipse anteriores à v20221115.132308

Versões do Language Server anteriores à v20221109.114426

Descrição

A vulnerabilidade permite a injeção de código durante a análise de um projeto. Um invasor pode incluir comandos em um arquivo de compilação, como build.gradle ou gradle-wrapper.jar, que serão executados com os privilégios do aplicativo. Isso pode ser acionado ao executar a ferramenta CLI diretamente ou ao realizar uma verificação com um dos plug-ins de IDE que invocam a CLI do Snyk. A exploração bem-sucedida provavelmente exigiria algum nível de engenharia social para forçar o download e a análise de um projeto não confiável. Se o IDE tiver um recurso de confiança, a pasta de destino deve ser marcada como “confiável” para que haja vulnerabilidade.

Recomendações

Para versões do Snyk anteriores à 1.1064.0, atualize para a versão 1.1064.0 ou posterior.

Para versões do VS Code anteriores à 1.9.0, atualize para a versão 1.9.0 ou posterior.

Para versões do IntelliJ anteriores à 2.4.48, atualize para a versão 2.4.48 ou posterior.

Para versões do Visual Studio anteriores à 1.1.31, atualize para a versão 1.1.31 ou posterior.

Para versões do Eclipse anteriores à v20221115.132308, atualize para uma versão posterior.

Para versões do Language Server anteriores à v20221109.114426, atualize para uma versão posterior.

Como solução alternativa temporária, considere restringir o uso da CLI do Snyk ou dos plug-ins de IDE para minimizar o risco de exp

Exploit

Correção

Code Injection

OS Command Injection

Enumeração de Fraquezas

CWE-94

CWE-78

Identificadores relacionados

CVE-2022-24441

GHSA-4VRV-93C7-M92J

Produtos afetados

Intellij

Vscode

Visual Studio

Snyk

Referências · 12

• 🔥 https://imperva.com/blog/how-scanning-your-projects-for-security-issues-can-lead-to-remote-code-execution · Exploit
• 🔥 https://security.snyk.io/vuln/SNYK-JS-SNYK-3111871 · Exploit
• https://github.com/snyk/vscode-extension/commit/0db3b4240be0db6a0a5c6d02c0d4231a2c4ba708 · Correção
• https://github.com/snyk/snyk-intellij-plugin/commit/56682f4ba6081ce1d95cb980cbfacd3809a826f4 · Correção
• https://github.com/snyk/snyk-ls/commit/b3229f0142f782871aa72d1a7dcf417546d568ed · Correção
• https://github.com/snyk/snyk-visual-studio-plugin/commit/0b53dbbd4a3153c3ef9aaf797af3b5caad0f731a · Correção
• https://github.com/snyk/snyk-eclipse-plugin/commit/b5a8bce25a359ced75f83a729fc6b2393fc9a495 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2022-24441 · Nota de Segurança
• https://t.me/cvedetector/9069 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-24441 · Aviso do Fabricante
• https://t.me/cibsecurity/53716 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-4vrv-93c7-m92j · Aviso do Fabricante