PT-2022-24816 · Some Natalie · Ghas-To-Csv

Aegilops + 1 · Publicado 2022-09-16 · Atualizado 2022-09-21 · CVE-2022-39217

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.8

Média

Vetor base

AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

some-natalie/ghas-to-csv versões anteriores à v1

Descrição

O problema decorre do fato de a ação do GitHub criar um arquivo CSV sem sanitizar a saída das APIs. Se um alerta for descartado ou se qualquer outro campo personalizado contiver código executável ou fórmulas, estes poderão ser executados quando um usuário abrir esse arquivo CSV em um programa de planilhas.

Recomendações

Para versões anteriores à v1, atualize para a versão v1 ou posterior para resolver o problema. Como solução alternativa temporária, considere evitar o uso de campos personalizados que possam conter código executável ou fórmulas na API do GitHub Advanced Security até que a atualização seja aplicada.

Exploit

Correção

Special Elements Injection

RCE

Enumeração de Fraquezas

CWE-74

CWE-1236

Identificadores relacionados

CVE-2022-39217

GHSA-634P-93H9-92VH

Produtos afetados

Ghas-To-Csv

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/39xxx/CVE-2022-39217.json · Exploit
• https://github.com/some-natalie/ghas-to-csv/pull/20 · Nota
• https://github.com/some-natalie/ghas-to-csv · Nota
• https://github.com/some-natalie/ghas-to-csv/commit/d0b521928fa734513b5cd9c7d9d8e09db50e884a · Correção
• https://github.com/some-natalie/ghas-to-csv/security/advisories/GHSA-634p-93h9-92vh · Correção
• https://github.com/some-natalie/ghas-to-csv/issues/19 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-39217 · Nota de Segurança
• https://t.me/cibsecurity/50011 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-634p-93h9-92vh · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-39217 · Aviso do Fabricante