PT-2022-1751 · Unknown · October Cms

Nikita Khaetsky + 1 · Publicado 2022-02-20 · Atualizado 2022-03-07 · CVE-2022-23655

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.4

Média

Vetor base

AV:N/AC:H/Au:N/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do OctoberCMS anteriores à compilação 474

Versões do OctoberCMS anteriores à v1.1.10

Versão 1.0 do OctoberCMS

Descrição

O problema está relacionado à falta de validação das assinaturas dos servidores de gateway no OctoberCMS, permitindo que servidores de gateway não autorizados sejam usados para extrair chaves privadas dos usuários. Isso pode levar ao acesso não autorizado a informações protegidas. A vulnerabilidade afeta autores de plugins e temas listados no marketplace do October CMS, onde um usuário final pode, inadvertidamente, expor os autores a possíveis perdas financeiras ao inserir sua chave de licença privada em um servidor comprometido. Foi divulgado que um fork do projeto October CMS v1.0 está utilizando um gateway comprometido para acessar o serviço do marketplace do October CMS, capturando informações pessoais e comerciais de usuários e autores, incluindo arquivos de código-fonte privados.

Recomendações

Para versões do OctoberCMS anteriores à compilação 474, atualize para a compilação 474 ou aplique o patch (e3b455ad587282f0fbcb7763c6d9c3d000ca1e6a) manualmente.

Para versões do OctoberCMS anteriores à v1.1.10, atualize para a v1.1.10 ou aplique o patch (e3b455ad587282f0fbcb7763c6d9c3d000ca1e6a) manualmente.

Para a versão 1.0 do OctoberCMS, considere atualizar para uma versão mais recente ou aplicar o patch (e3b455ad587282f0fbcb7763c6d9c3d000ca1e6a) manualmente como uma solução temporária.

Não compartilhe sua chave de licença com ninguém, exceto com o October CMS.

Verifique se o servidor de atualização do seu gateway não foi modificado.

Esteja ciente de

Exploit

Correção

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-347

Identificadores relacionados

BDU:2022-01033

CVE-2022-23655

GHSA-53M6-44RC-H2Q5

Produtos afetados

October Cms

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/23xxx/CVE-2022-23655.json · Exploit
• https://github.com/octobercms/october · Nota
• https://github.com/octobercms/october/commit/e3b455ad587282f0fbcb7763c6d9c3d000ca1e6a · Correção
• https://github.com/octobercms/october/security/advisories/GHSA-53m6-44rc-h2q5 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2022-23655 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-23655 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2022-01033 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-53m6-44rc-h2q5 · Aviso do Fabricante
• https://t.me/cvenotify/27254 · Publicação no Telegram
• https://t.me/cibsecurity/37974 · Publicação no Telegram