PT-2022-24955 · Unknown+2 · Parse Server+2

Cristian-Alexandru Staicu + 2 · Publicado 2022-11-08 · Atualizado 2024-03-06 · CVE-2022-39396

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Parse Server anteriores à 4.10.18

Versões do Parse Server anteriores à 5.3.1 na ramificação 5.X

Descrição

O Parse Server é um backend de código aberto que pode ser implantado em qualquer infraestrutura capaz de executar o Node.js. Um invasor pode usar um protótipo de poluição de sink para acionar a execução remota de código por meio do analisador BSON do MongoDB. Esta vulnerabilidade foi corrigida nas versões 5.3.1 e 4.10.18.

Recomendações

Para versões anteriores à 4.10.18, atualize para a versão 4.10.18 ou posterior.

Para versões anteriores à 5.3.1 na ramificação 5.X, atualize para a versão 5.3.1 ou posterior.

Como solução alternativa temporária, considere desativar a execução remota de código por meio do analisador BSON do MongoDB até que uma correção esteja disponível.

Exploit

Correção

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

Identificadores relacionados

BIT-PARSE-2022-39396

CVE-2022-39396

GHSA-PRM5-8G2M-24GG

ZDI-22-1590

Produtos afetados

Mongodb

Node.Js

Parse Server

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/39xxx/CVE-2022-39396.json · Exploit
• https://github.com/parse-community/parse-server · Nota
• https://github.com/parse-community/parse-server/pull/8296 · Nota
• https://github.com/parse-community/parse-server/releases/tag/5.3.1 · Nota
• https://github.com/parse-community/parse-server/security/advisories/GHSA-prm5-8g2m-24gg · Nota
• https://github.com/parse-community/parse-server/releases/tag/4.10.18 · Nota
• https://github.com/parse-community/parse-server/pull/8295 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-39396 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-prm5-8g2m-24gg · Aviso do Fabricante
• https://t.me/cibsecurity/52927 · Publicação no Telegram
• https://t.me/cybersecuritytechnologies/8053 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-39396 · Aviso do Fabricante
• https://t.me/cvenotify/37480 · Publicação no Telegram
• https://osv.dev/vulnerability/BIT-parse-2022-39396 · Aviso do Fabricante
• https://zerodayinitiative.com/advisories/ZDI-22-1590 · Nota de Segurança