PT-2022-20467 · Unknown · Play Framework

Billy Autrey + 2 · Publicado 2022-06-02 · Atualizado 2022-06-11 · CVE-2022-31023

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Play Framework anteriores à 2.8.16

Descrição

O problema diz respeito à geração de mensagens de erro contendo informações confidenciais no Play Framework. Quando executado no modo de desenvolvimento, o Play Framework exibe erros detalhados para facilitar a depuração, incluindo um rastreamento da pilha de exceções. Esse comportamento é configurado pelo DefaultHttpErrorHandler com base no modo da aplicação. No entanto, o objeto estático DefaultHttpErrorHandler está configurado para sempre exibir erros detalhados, o que pode ser inadvertidamente utilizado em produção ou configurado incorretamente como o manipulador de erros injetado. Isso pode resultar na exibição de erros detalhados aos usuários em uma aplicação de produção, expondo informações confidenciais. Especificamente, o construtor do CORSFilter e o método apply do CORSActionBuilder utilizam o objeto estático DefaultHttpErrorHandler como valor padrão.

Recomendações

Para versões anteriores à 2.8.16, ao construir um CORSFilter ou CORSActionBuilder, certifique-se de que um manipulador de erros devidamente configurado seja passado. Geralmente, isso deve ser feito usando a instância HttpErrorHandler fornecida por meio de injeção de dependência ou por meio dos BuiltInComponents do Play. Certifique-se de que o aplicativo não esteja usando o objeto estático DefaultHttpErrorHandler em nenhum código que possa ser executado em produção. Atualize para o Play Framework 2.8.16, onde o objeto DefaultHttpErrorHandler foi alterado para usar o comportamento do modo de produção, e o DevHttpErrorHandler ha

Exploit

Correção

Generation of Error Message Containing Sensitive Information

Enumeração de Fraquezas

CWE-209

Identificadores relacionados

CVE-2022-31023

GHSA-P9P4-97G9-WCRH

Produtos afetados

Play Framework

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/31xxx/CVE-2022-31023.json · Exploit
• https://github.com/playframework/playframework/pull/11305 · Correção
• https://github.com/playframework/playframework/releases/tag/2.8.16 · Nota
• https://github.com/playframework/playframework/security/advisories/GHSA-p9p4-97g9-wcrh · Nota
• https://github.com/playframework/playframework · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-31023 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-31023 · Aviso do Fabricante
• https://t.me/cibsecurity/43764 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-p9p4-97g9-wcrh · Aviso do Fabricante