PT-2022-21702 · Diffy · Diffy

Tehryanx · Publicado 2022-06-22 · Atualizado 2022-06-29 · CVE-2022-33127

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Diffy anteriores à 3.4.1

Versão 3.4.1 do Diffy

Descrição

A função que chama a ferramenta diff no Diffy não lida adequadamente com aspas duplas em nomes de arquivos quando executada em um ambiente Windows. Isso permite que invasores executem comandos arbitrários por meio de uma string maliciosa.

Recomendações

Para versões do Diffy anteriores à 3.4.1, atualize para a versão 3.4.1 ou posterior para resolver o problema.

Para a versão 3.4.1 do Diffy, considere desativar a função que chama a ferramenta diff até que um patch esteja disponível. Restrinja o acesso à ferramenta diff para minimizar o risco de exploração. Evite usar aspas duplas em nomes de arquivos ao executar o Diffy em um ambiente Windows até que o problema seja resolvido.

Exploit

Correção

Identificadores relacionados

CVE-2022-33127

GHSA-5WW9-9QP2-X524

Produtos afetados

Diffy

Referências · 11

• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/diffy/CVE-2022-33127.yml · Exploit
• https://github.com/samg/diffy/blob/56fd935aea256742f7352b050592542d3d153bf6/CHANGELOG#L1 · Nota
• https://github.com/samg/diffy/commit/478f392082b66d38f54a02b4bb9c41be32fd6593 · Correção
• https://github.com/samg/diffy · Nota
• https://cve.org/CVERecord?id=CVE-2022-33127 · Nota de Segurança
• https://ubuntu.com/security/CVE-2022-33127 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-5ww9-9qp2-x524 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-33127 · Nota de Segurança
• https://t.me/cibsecurity/45002 · Publicação no Telegram
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-33127 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-33127 · Aviso do Fabricante