PT-2022-20476 · Mechanize+2 · Mechanize+2

Flavorjones · Publicado 2022-06-09 · Atualizado 2024-07-27 · CVE-2022-31033

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Mechanize anteriores à 2.8.5

Descrição

A biblioteca Mechanize, usada para automatizar a interação com sites, apresenta uma falha na qual o cabeçalho de autorização é exposto após um redirecionamento para uma porta diferente no mesmo site. Isso ocorre em versões anteriores à 2.8.5. A biblioteca armazena e envia cookies automaticamente, segue redirecionamentos e pode seguir links e enviar formulários.

Recomendações

Para versões do Mechanize anteriores à 2.8.5, atualize para o Mechanize v2.8.5 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso a informações confidenciais que possam vazar devido ao problema do cabeçalho de autorização, até que um patch seja aplicado.

Exploit

Correção

Information Disclosure

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-200

CWE-522

Identificadores relacionados

ALT-PU-2023-1339

ALT-PU-2023-4274

ALT-PU-2024-7821

CVE-2022-31033

GHSA-64QM-HRGP-PGR9

Produtos afetados

Alt Linux

Debian

Mechanize

Referências · 18

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/31xxx/CVE-2022-31033.json · Exploit
• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/mechanize/CVE-2022-31033.yml · Exploit
• https://github.com/sparklemotion/mechanize/commit/c7fe6996a5b95f9880653ba3bc548a8d4ef72317 · Correção
• https://github.com/sparklemotion/mechanize/security/advisories/GHSA-64qm-hrgp-pgr9 · Nota
• https://github.com/sparklemotion/mechanize/commit/17e5381032c90caf240ac3d2e52b353f40c18d83 · Nota
• https://github.com/sparklemotion/mechanize · Nota
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/OA2FJROTX2U6EBWDPKRQ2VAM67A5TQXF · Aviso do Fabricante
• https://t.me/cvenotify/31861 · Publicação no Telegram
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/7OKZMR5O3T5HQ2V737TC7IU4WZRT2LGX · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-31033 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2022-31033 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2022-31033 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-31033 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-31033 · Aviso do Fabricante
• https://t.me/cibsecurity/44150 · Publicação no Telegram