PT-2022-24857 · Orchest · Orchest

Fruttasecca · Publicado 2022-09-30 · Atualizado 2022-10-04 · CVE-2022-39268

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Orchest anteriores à v2022.09.10

Descrição

A vulnerabilidade permite que um invasor induza um usuário final inocente a enviar uma solicitação web que não era sua intenção, podendo causar ações como vazamento de dados do cliente ou do servidor, alteração do estado da sessão ou manipulação da conta do usuário final. Isso está relacionado a um ataque de falsificação de solicitação entre sites (CSRF).

Recomendações

Atualize para a versão v2022.09.10 para corrigir essa vulnerabilidade.

Como solução alternativa temporária, recompile e reimplante o auth-server do Orchest com o commit especificado.

Exploit

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2022-39268

GHSA-Q44F-8JPW-QV4J

Produtos afetados

Orchest

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/39xxx/CVE-2022-39268.json · Exploit
• https://github.com/orchest/orchest/security/advisories/GHSA-q44f-8jpw-qv4j · Nota
• https://github.com/orchest/orchest/commit/c2587a963cca742c4a2503bce4cfb4161bf64c2d · Correção
• https://github.com/orchest/orchest/pull/1324 · Correção
• https://github.com/orchest/orchest/releases/tag/v2022.09.10 · Nota
• https://osv.dev/vulnerability/CVE-2022-39268 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-39268 · Nota de Segurança