PT-2022-24837 · Nuprocess · Nuprocess
Brettwooldridge
·
Publicado
2022-09-26
·
Atualizado
2023-07-13
·
CVE-2022-39243
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
NuProcess, versões 1.2.0 a 2.0.4
Descrição
O NuProcess é uma implementação de execução de processos externos para Java que está vulnerável a ataques de injeção de linha de comando. Os invasores podem usar caracteres NUL em suas strings para injetar argumentos de linha de comando. Esse problema é específico do Linux e pode ser explorado devido à falta de verificação no NuProcess, que está presente no ProcessBuilder do Java. A vulnerabilidade só pode ser explorada no Linux, pois no macOS e no Windows, qualquer argumento com um caractere NUL é truncado, impedindo que os argumentos maliciosos sejam vistos pelo processo iniciado.
Recomendações
Para as versões 1.2.0 a 2.0.4 do NuProcess, atualize para a versão 2.0.5 para resolver o problema.
Como solução alternativa temporária para as versões 1.2.0 a 2.0.4, os usuários da biblioteca podem sanitizar as strings de comando para remover caracteres NUL antes de passá-las ao NuProcess para execução.
Exploit
Correção
Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Nuprocess