PT-2022-27790 · Liuos · Liuos

Fhildfshjkdsaiojsga · Publicado 2022-12-28 · Atualizado 2023-01-13 · CVE-2022-46179

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.2

Crítica

Vetor base

AV:L/AC:L/PR:N/UI:N/S:C/C:L/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões 0.1.0 e anteriores do LiuOS

Descrição

O LiuOS é um pequeno projeto em Python que imita as funções de um sistema operacional comum. A vulnerabilidade permite que um invasor defina a variável de ambiente GITHUB ACTIONS com qualquer valor que não seja null ou true, o que lhe permite ignorar as verificações de autenticação. Um script de teste é executado em vez de permitir o login quando a variável é definida como true.

Recomendações

Para as versões 0.1.0 e anteriores, uma solução alternativa possível é verificar a variável de ambiente GITHUB ACTIONS e defini-la como null para forçar as verificações de credenciais.

Atualize para o commit mais recente (c658b4f3e57258acf5f6207a90c2f2169698ae22), que exige que a variável GITHUB ACTIONS seja definida como true, impedindo assim que invasores ignorem as verificações de autenticação.

Exploit

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2022-46179

GHSA-F9X3-MJ2R-CQMF

Produtos afetados

Liuos

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/46xxx/CVE-2022-46179.json · Exploit
• 🔥 https://github.com/LiuWoodsCode/LiuOS/security/advisories/GHSA-f9x3-mj2r-cqmf · Exploit
• https://github.com/LiuWoodsCode/LiuOS/commit/c658b4f3e57258acf5f6207a90c2f2169698ae22 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2022-46179 · Nota de Segurança
• https://t.me/cibsecurity/55462 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-46179 · Aviso do Fabricante