PT-2022-27870 · Docconv · Docconv

Govulnbot · CVE-2022-4643 · Publicado 2022-12-21 · Atualizado 2024-05-17

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do docconv anteriores à 1.2.1

Descrição

Uma falha crítica afeta a função ConvertPDFImages do arquivo pdf ocr.go. A manipulação do argumento path leva à injeção de comandos no sistema operacional. O ataque pode ser iniciado remotamente.

Recomendações

Para versões anteriores à 1.2.1, atualize para a versão 1.2.1 para resolver este problema. Como solução temporária, considere restringir o uso da função ConvertPDFImages até que a atualização seja aplicada.

Exploit

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2022-4643

GHSA-6M4H-HFPP-X8CX

GO-2022-1184

Produtos afetados

Docconv

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/4xxx/CVE-2022-4643.json · Exploit
• https://github.com/sajari/docconv/releases/tag/v1.2.1 · Aviso do Fabricante
• https://github.com/sajari/docconv/pull/110 · Correção
• https://github.com/sajari/docconv/commit/b19021ade3d0b71c89d35cb00eb9e589a121faa5 · Correção
• https://github.com/sajari/docconv/releases/tag/v1.3.5 · Nota
• https://github.com/sajari/docconv · Nota
• https://vuldb.com/?id.216502 · Nota
• https://pkg.go.dev/vuln/GO-2022-1184 · Nota
• https://t.me/cvenotify/40616 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-4643 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-4643 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-6m4h-hfpp-x8cx · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2022-1184 · Aviso do Fabricante
• https://t.me/cibsecurity/55095 · Publicação no Telegram
• https://t.me/cvenotify/40942 · Publicação no Telegram