PT-2022-27870 · Docconv · Docconv

Govulnbot · Publicado 2022-12-21 · Atualizado 2024-05-17 · CVE-2022-4643

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do docconv anteriores à 1.2.1

Descrição

Uma falha crítica afeta a função ConvertPDFImages do arquivo pdf ocr.go. A manipulação do argumento path leva à injeção de comandos no sistema operacional. O ataque pode ser iniciado remotamente.

Recomendações

Para versões anteriores à 1.2.1, atualize para a versão 1.2.1 para resolver este problema. Como solução temporária, considere restringir o uso da função ConvertPDFImages até que a atualização seja aplicada.

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2022-4643

GHSA-6M4H-HFPP-X8CX

GO-2022-1184

Produtos afetados

Docconv

Referências · 14

• https://github.com/sajari/docconv/pull/110 · Correção
• https://github.com/sajari/docconv/releases/tag/v1.2.1 · Aviso do Fabricante
• https://github.com/sajari/docconv/commit/b19021ade3d0b71c89d35cb00eb9e589a121faa5 · Correção
• https://github.com/sajari/docconv/releases/tag/v1.3.5 · Nota
• https://github.com/sajari/docconv · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-4643 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-4643 · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2022-1184 · Aviso do Fabricante
• https://t.me/cvenotify/40942 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-6m4h-hfpp-x8cx · Aviso do Fabricante
• https://pkg.go.dev/vuln/GO-2022-1184 · Nota
• https://t.me/cibsecurity/55095 · Publicação no Telegram
• https://vuldb.com/?id.216502 · Nota
• https://t.me/cvenotify/40616 · Publicação no Telegram