PT-2022-23018 · Grails · Grails

Codeplutos + 1 · Publicado 2022-07-19 · Atualizado 2022-07-28 · CVE-2022-35912

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Grails anteriores à 3.3.15

Versões do Grails 4.x anteriores à 4.1.1

Versões do Grails 5.x anteriores à 5.1.9

Versões do Grails 5.2.x anteriores à 5.2.1

Descrição

Foi descoberta uma vulnerabilidade na lógica de vinculação de dados do Grails que permite a execução remota de código em uma aplicação Grails. Essa exploração requer que a aplicação esteja rodando no Java 8, seja implantada como um WAR em um contêiner de servlets ou como um JAR executável. Um invasor remoto pode executar código ao obter acesso ao carregador de classes.

Recomendações

Para versões do Grails anteriores à 3.3.15, atualize para a versão 3.3.15 ou posterior.

Para versões do Grails 4.x anteriores à 4.1.1, atualize para a versão 4.1.1 ou posterior.

Para versões do Grails 5.x anteriores à 5.1.9, atualize para a versão 5.1.9 ou posterior.

Para versões do Grails 5.2.x anteriores à 5.2.1, atualize para a versão 5.2.1 ou posterior.

Correção

Identificadores relacionados

CVE-2022-35912

GHSA-6RH6-X8WW-9H97

Produtos afetados

Grails

Referências · 10

• https://github.com/grails/grails-core/issues/12626 · Correção
• https://github.com/grails/grails-core/security/advisories/GHSA-6rh6-x8ww-9h97 · Nota
• https://github.com/grails/grails-core · Nota
• https://osv.dev/vulnerability/CVE-2022-35912 · Aviso do Fabricante
• https://grails.org/blog/2022-07-18-rce-vulnerability.html · Aviso do Fabricante
• https://t.me/cvenotify/33874 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-35912 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-6rh6-x8ww-9h97 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2022/07/20/4 · Nota
• https://t.me/cibsecurity/46568 · Publicação no Telegram