PT-2022-25436 · Dalli · Dalli

Xhzeem · Publicado 2022-11-19 · Atualizado 2025-03-28 · CVE-2022-4064

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.3

Média

Vetor base

AV:N/AC:H/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Dalli (versões afetadas não especificadas)

Descrição

Foi encontrada uma vulnerabilidade na função self.meta set do arquivo lib/dalli/protocol/meta/request formatter.rb do componente Meta Protocol Handler. A manipulação leva à injeção. A exploração já foi divulgada ao público e pode estar sendo utilizada.

Recomendações

Para corrigir este problema, recomenda-se aplicar um patch. O nome do patch é 48d594dae55934476fec61789e7a7c3700e0f50d. Como solução temporária, considere desativar a função self.meta set até que um patch esteja disponível.

Exploit

Correção

Improper Neutralization

Special Elements Injection

Enumeração de Fraquezas

CWE-707

CWE-74

Identificadores relacionados

CVE-2022-4064

GHSA-3XG8-CC8F-9WV2

OESA-2023-1002

Produtos afetados

Dalli

Referências · 19

• 🔥 https://github.com/petergoldstein/dalli/issues/932 · Exploit
• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/dalli/CVE-2022-4064.yml · Exploit
• https://github.com/petergoldstein/dalli/releases/tag/v3.2.3 · Correção
• https://github.com/petergoldstein/dalli/commit/48d594dae55934476fec61789e7a7c3700e0f50d · Correção
• https://github.com/petergoldstein/dalli/pull/933 · Correção
• https://github.com/petergoldstein/dalli · Nota
• https://ubuntu.com/security/CVE-2022-4064 · Aviso do Fabricante
• https://vuldb.com/?ctiid.214026 · Nota
• https://t.me/cibsecurity/53205 · Publicação no Telegram
• https://cve.org/CVERecord?id=CVE-2022-4064 · Nota de Segurança
• https://osv.dev/vulnerability/OESA-2023-1002 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-3xg8-cc8f-9wv2 · Aviso do Fabricante
• https://github.com/advisories/GHSA-3xg8-cc8f-9wv2 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-4064 · Nota de Segurança
• https://openeuler.org/en/security/safety-bulletin/detail.html?id=openEuler-SA-2023-1002 · Nota