PT-2022-23105 · Unknown+1 · Ruby On Rails+1

P- + 1 · Publicado 2022-08-14 · Atualizado 2023-06-29 · CVE-2022-36006

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.9

Alta

Vetor base

AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:L

Nome do software vulnerável e versões afetadas

Versões do Arvados anteriores à 2.4.2

Descrição

O Arvados é uma plataforma de código aberto para gerenciar, processar e compartilhar dados genômicos e outros dados científicos e biomédicos de grande volume. Uma vulnerabilidade de execução remota de código no Arvados Workbench permite que invasores autenticados executem código arbitrário por meio de cargas JSON especialmente criadas. Essa vulnerabilidade é específica do aplicativo Ruby on Rails Workbench (“Workbench 1”). Não acreditamos que quaisquer outros componentes do Arvados, incluindo o aplicativo Workbench baseado em navegador TypesScript (“Workbench 2”) ou o servidor de API, estejam vulneráveis a esse ataque.

Recomendações

Para versões do Arvados anteriores à 2.4.2: remova o aplicativo “Workbench 1” baseado em Ruby (“apt-get remove arvados-workbench”) da sua instalação como solução alternativa.

Atualize para a versão 2.4.2 ou posterior para resolver o problema.

Exploit

Correção

Code Injection

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-94

CWE-502

Identificadores relacionados

CVE-2022-36006

GHSA-8867-Q4XF-CQGM

Produtos afetados

Arvados

Ruby On Rails

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/36xxx/CVE-2022-36006.json · Exploit
• https://github.com/arvados/arvados/security/advisories/GHSA-8867-q4xf-cqgm · Nota
• https://arvados.org/release-notes/2.4.2 · Aviso do Fabricante
• https://dev.arvados.org/issues/19316 · Aviso do Fabricante
• https://t.me/cvenotify/53319 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-36006 · Aviso do Fabricante
• https://t.me/cibsecurity/48128 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-36006 · Nota de Segurança