PT-2022-1771 · Unknown · Log4Js-Node

Ranjit-Git · Publicado 2022-01-19 · Atualizado 2023-02-03 · CVE-2022-21704

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do log4js-node anteriores à 6.4.0

Descrição

O problema está relacionado às permissões padrão dos arquivos de log criados pelos appenders file, fileSync e dateFile no log4js-node, que são legíveis por todos no sistema Unix. Isso pode causar problemas se os arquivos de log contiverem informações confidenciais, afetando usuários que não tenham definido suas próprias permissões para os arquivos por meio do parâmetro mode na configuração.

Recomendações

Para versões anteriores à 6.4.0, atualize para log4js@6.4.0 para corrigir o problema. Como solução alternativa temporária, considere passar o parâmetro mode para a configuração dos appenders de arquivo para definir permissões personalizadas, conforme permitido por todas as versões do log4js.

Exploit

Correção

Incorrect Default Permissions

Enumeração de Fraquezas

CWE-276

Identificadores relacionados

AZL-45261

BDU:2022-01070

CVE-2022-21704

DLA-3229-1

GHSA-82V2-MX6X-WQ7Q

Produtos afetados

Log4Js-Node

Referências · 20

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/21xxx/CVE-2022-21704.json · Exploit
• https://github.com/log4js-node/log4js-node/security/advisories/GHSA-82v2-mx6x-wq7q · Correção
• https://github.com/log4js-node/log4js-node/blob/v6.4.0/CHANGELOG.md#640 · Nota
• https://github.com/log4js-node/log4js-node/pull/1141/commits/8042252861a1b65adb66931fdf702ead34fa9b76 · Correção
• https://github.com/log4js-node/log4js-node · Nota
• https://github.com/log4js-node/log4js-node/pull/1141 · Nota
• https://github.com/log4js-node/streamroller/pull/87 · Correção
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-21704 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-21704 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-21704 · Aviso do Fabricante
• https://osv.dev/vulnerability/DLA-3229-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-82v2-mx6x-wq7q · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2022-21704 · Aviso do Fabricante
• https://osv.dev/vulnerability/AZL-45261 · Aviso do Fabricante
• https://t.me/cvenotify/25681 · Publicação no Telegram