PT-2022-16862 · Canonical+1 · Ubuntu+1

Mtrezzap · Publicado 2022-03-11 · Atualizado 2024-03-06 · CVE-2022-24760

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Parse Server anteriores à 4.10.7

Descrição

O problema é uma vulnerabilidade de execução remota de código (RCE) no Parse Server, que afeta a configuração padrão com o MongoDB. A principal falha é o código vulnerável à contaminação de protótipos no arquivo DatabaseController.js, o que também pode afetar o Postgres e outros back-ends de banco de dados. Esta vulnerabilidade foi confirmada no Linux (Ubuntu) e no Windows.

Recomendações

Atualize para o Parse Server >=4.10.7.

Se você estiver usando uma versão pré-lançamento do Parse Server 5.0 (alfa, beta), aguarde uma correção oportuna.

Como solução temporária, considere aplicar o patch no driver MongoDB Node.js e desativar a execução de código BSON adicionando o código fornecido para ser executado antes de iniciar o Parse Server.

Para evitar a poluição de protótipos JavaScript, um novo recurso de segurança verifica se há palavras-chave confidenciais nos dados da solicitação, e você pode substituir as palavras-chave padrão definindo a nova opção do Parse Server requestKeywordDenylist como [] e especificando suas próprias palavras-chave conforme necessário.

Exploit

Correção

Special Elements Injection

Prototype Pollution

Enumeração de Fraquezas

CWE-74

CWE-1321

Identificadores relacionados

BIT-PARSE-2022-24760

CVE-2022-24760

GHSA-P6H4-93QP-JHCM

Produtos afetados

Ubuntu

Windows

Referências · 10

• 🔥 https://github.com/parse-community/parse-server/security/advisories/GHSA-p6h4-93qp-jhcm · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/24xxx/CVE-2022-24760.json · Exploit
• 🔥 https://huntr.dev/bounties/ac24b343-e7da-4bc7-ab38-4f4f5cc9d099 · Exploit
• https://github.com/parse-community/parse-server · Nota
• https://github.com/parse-community/parse-server/commit/886bfd7cac69496e3f73d4bb536f0eec3cba0e4d · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2022-24760 · Nota de Segurança
• https://t.me/cvenotify/29069 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-24760 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-p6h4-93qp-jhcm · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-parse-2022-24760 · Aviso do Fabricante