PT-2022-25191 · Hertz · Hertz

Ruokeqx · Publicado 2022-09-28 · Atualizado 2022-10-05 · CVE-2022-40082

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Hertz anteriores à 0.3.1

Descrição

O problema está relacionado a uma vulnerabilidade de traversal de caminho por meio da função normalizePath. Essa vulnerabilidade é causada por uma sanitização inadequada de caminho no Windows, o que permite ataques de traversal de caminho. Especificamente, ao usar as funções Static ou StaticFS para servir arquivos estáticos, um invasor pode acessar arquivos de fora da raiz do sistema de arquivos. Esse problema não afeta sistemas que não sejam Windows.

Recomendações

Para versões anteriores à 0.3.1, atualize para a versão 0.3.1 para resolver o problema.

Como solução temporária, considere desativar a função normalizePath ou restringir o acesso às funções Static e StaticFS até que um patch seja aplicado.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2022-40082

GHSA-C9QR-F6C8-RGXF

GO-2022-1027

Produtos afetados

Hertz

Referências · 9

• 🔥 https://github.com/cloudwego/hertz/issues/228 · Exploit
• https://github.com/cloudwego/hertz · Nota
• https://github.com/cloudwego/hertz/pull/229 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2022-40082 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-40082 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-c9qr-f6c8-rgxf · Aviso do Fabricante
• https://t.me/cibsecurity/50589 · Publicação no Telegram
• https://pkg.go.dev/vuln/GO-2022-1027 · Nota
• https://osv.dev/vulnerability/GO-2022-1027 · Aviso do Fabricante