PT-2022-25834 · Pypi · Democritus-File-System+1

Di1L0O · Publicado 2022-10-11 · Atualizado 2023-05-15 · CVE-2022-41383

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

d8s-archives versão 0.1.0

Descrição

O pacote d8s-archives para Python, distribuído no PyPI, incluía um backdoor com potencial para execução de código inserido por terceiros. O backdoor é o pacote democritus-file-system.

Recomendações

Para a versão 0.1.0, considere remover ou evitar o uso do pacote democritus-file-system para mitigar o risco de execução de código. Como solução temporária, restrinja o acesso a áreas sensíveis do seu sistema até que um patch ou uma versão segura do pacote esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2022-41383

PYSEC-2022-43020

PYSEC-2022-43042

Produtos afetados

D8S-Archives

Democritus-File-System

Referências · 8

• 🔥 https://github.com/democritus-project/d8s-archives/issues/13 · Exploit
• https://pypi.org/project/democritus-file-system · Nota
• https://t.me/cibsecurity/51236 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-41383 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2022-43020 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2022-43042 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-41383 · Nota de Segurança
• https://pypi.org/project/d8s-archives · Nota