PT-2022-20635 · Mailcow · Mailcow

Ly1G3 · Publicado 2022-05-20 · Atualizado 2022-07-26 · CVE-2022-31245

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do mailcow anteriores à 2022-05d

Descrição

A vulnerabilidade permite que um usuário remoto autenticado injete comandos do sistema operacional e eleve seus privilégios para administrador de domínio por meio da opção --debug, em conjunto com a opção ---PIPEMESS nas tarefas de sincronização.

Recomendações

Para versões anteriores à 2022-05d, atualize para a versão 2022-05d ou posterior para resolver o problema. Como solução alternativa temporária, considere desativar a opção --debug e a opção ---PIPEMESS em Sync Jobs até que um patch esteja disponível. Restrinja o acesso a Sync Jobs para minimizar o risco de exploração.

Exploit

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2022-31245

Produtos afetados

Mailcow

Referências · 8

• 🔥 https://github.com/ly1g3/Mailcow-CVE-2022-31245 · Exploit
• 🔥 https://github.com/ehtec/camp-exploit · Exploit
• https://github.com/mailcow/mailcow-dockerized/releases/tag/2022-05d · Correção
• https://osv.dev/vulnerability/CVE-2022-31245 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-31245 · Nota de Segurança
• https://t.me/cybersecuritytechnologies/6472 · Publicação no Telegram
• https://t.me/cibsecurity/43066 · Publicação no Telegram
• https://t.me/cvenotify/31012 · Publicação no Telegram