PT-2022-26656 · Unknown · Powerline-Gitstatus

Jcharaoui + 1 · Publicado 2022-10-13 · Atualizado 2025-05-15 · CVE-2022-42906

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do powerline-gitstatus anteriores à 1.3.2

Descrição

A vulnerabilidade permite a execução de código arbitrário. Repositórios Git podem conter configurações que alteram o comportamento do Git, incluindo a execução de comandos arbitrários. Ao usar o software afetado, mudar para um diretório executa automaticamente comandos Git para exibir informações do repositório no prompt. Um invasor pode explorar isso convencendo um usuário a mudar seu diretório para um controlado pelo invasor, como em um sistema de arquivos compartilhado ou arquivo extraído, permitindo que o invasor execute comandos arbitrários.

Recomendações

Para versões anteriores à 1.3.2, atualize para a versão 1.3.2 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o uso do powerline-gitstatus em diretórios não confiáveis para minimizar o risco de exploração. Evite usar o powerline-gitstatus em diretórios que possam ser controlados por um invasor até que o problema seja resolvido.

Exploit

Correção

Code Injection

Command Injection

Enumeração de Fraquezas

CWE-94

CWE-77

Identificadores relacionados

CVE-2022-42906

DLA-3277-1

GHSA-W67G-6GJV-C599

Produtos afetados

Powerline-Gitstatus

Referências · 17

• 🔥 https://github.com/jaspernbrouwer/powerline-gitstatus/issues/45 · Exploit
• https://github.com/jaspernbrouwer/powerline-gitstatus · Nota
• https://github.com/jaspernbrouwer/powerline-gitstatus/pull/46 · Nota
• https://github.com/jaspernbrouwer/powerline-gitstatus/commit/fe8e963b3489e4cceaa2c1f26f2bcc2ef405364c · Nota
• https://github.com/jaspernbrouwer/powerline-gitstatus/releases/tag/v1.3.2 · Nota
• https://ubuntu.com/security/CVE-2022-42906 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2022-42906 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2022-42906 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-42906 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2022-42906 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-w67g-6gjv-c599 · Aviso do Fabricante
• https://t.me/cibsecurity/51304 · Publicação no Telegram
• https://osv.dev/vulnerability/DLA-3277-1 · Aviso do Fabricante
• https://t.me/cvenotify/122373 · Publicação no Telegram
• https://lists.debian.org/debian-lts-announce/2023/01/msg00017.html · Nota