PT-2022-16856 · Stripe · Stripe Cli

Trungpabc · Publicado 2022-03-09 · Atualizado 2024-08-21 · CVE-2022-24753

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.7

Alta

Vetor base

AV:L/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Stripe CLI anteriores à 1.7.13

Descrição

Existe uma vulnerabilidade no Stripe CLI no Windows quando determinados comandos são executados em um diretório onde um invasor tenha colocado arquivos. Os comandos afetados são stripe login, stripe config -e, stripe community e stripe open. O macOS e o Linux não são afetados. Um invasor que explorar com sucesso a vulnerabilidade pode executar código arbitrário no contexto do usuário atual. A atualização corrige o problema gerando um erro nessas situações antes que o código possa ser executado. Não há evidências de exploração dessa vulnerabilidade.

Recomendações

Atualize para a versão 1.7.13. Como solução temporária, considere evitar a execução dos comandos afetados em diretórios não confiáveis até que a atualização seja aplicada. Restrinja o acesso aos comandos afetados para minimizar o risco de exploração.

Exploit

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2022-24753

GHSA-4CX6-FJ7J-PJX9

GO-2022-0350

Produtos afetados

Stripe Cli

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/24xxx/CVE-2022-24753.json · Exploit
• https://github.com/stripe/stripe-cli · Nota
• https://github.com/stripe/stripe-cli/commit/be38da5c0191adb77f661f769ffff2fbc7ddf6cd · Correção
• https://github.com/stripe/stripe-cli/security/advisories/GHSA-4cx6-fj7j-pjx9 · Nota
• https://osv.dev/vulnerability/CVE-2022-24753 · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2022-0350 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-4cx6-fj7j-pjx9 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-24753 · Nota de Segurança
• https://t.me/cvenotify/27996 · Publicação no Telegram