PT-2022-22466 · Crow · Crow

Dejan Alvadzijevic · Publicado 2022-08-04 · Atualizado 2022-08-10 · CVE-2022-34970

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Crow anteriores à 1.0+4

Descrição

O problema consiste em um estouro de buffer baseado na pilha que ocorre por meio da função qs parse no arquivo query string.h. Isso permite que invasores executem remotamente código arbitrário no contexto do serviço vulnerável.

Recomendações

Para versões do Crow anteriores à 1.0+4, atualize para a versão 1.0+4 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à função qs parse em query string.h para minimizar o risco de exploração.

Exploit

Correção

Enumeração de Fraquezas

CWE-193

Identificadores relacionados

CVE-2022-34970

Produtos afetados

Crow

Referências · 7

• 🔥 https://github.com/0xhebi/CVE-2022-34970/blob/master/report.md · Exploit
• https://github.com/CrowCpp/Crow/pull/486 · Correção
• https://github.com/CrowCpp/Crow/releases/tag/v1.0%2B4 · Nota
• https://osv.dev/vulnerability/CVE-2022-34970 · Aviso do Fabricante
• https://cwe.mitre.org/data/definitions/193.html · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-34970 · Nota de Segurança
• https://t.me/cvenotify/34504 · Publicação no Telegram