PT-2022-25032 · Ibm · Lotus 1-2-3 R3 For Unix

Dbastone · Publicado 2022-09-05 · Atualizado 2022-09-09 · CVE-2022-39843

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do 123elf Lotus 1-2-3 anteriores à 1.0.0rc3

Lotus 1-2-3 R3 para UNIX e outras plataformas, versões anteriores à 9.8.2

Descrição

A vulnerabilidade permite que invasores executem código arbitrário por meio de uma planilha maliciosa. Isso ocorre devido a um estouro de buffer baseado em pilha nas rotinas de processamento de formato de célula, conforme demonstrado por uma determinada chamada de função de process fmt() que pode ser acionada por meio de um elemento w3r format em um documento wk3.

Recomendações

Para versões do 123elf Lotus 1-2-3 anteriores à 1.0.0rc3, atualize para a versão 1.0.0rc3 ou posterior.

Para versões do Lotus 1-2-3 R3 para UNIX e outras plataformas anteriores à 9.8.2, atualize para a versão 9.8.2 ou posterior.

Exploit

Correção

Memory Corruption

Enumeração de Fraquezas

CWE-787

Identificadores relacionados

CVE-2022-39843

Produtos afetados

Lotus 1-2-3 R3 For Unix

Referências · 4

• 🔥 https://github.com/taviso/123elf/issues/103 · Exploit
• https://github.com/taviso/123elf/releases/tag/v1.0.0rc3 · Nota
• https://osv.dev/vulnerability/CVE-2022-39843 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-39843 · Nota de Segurança