PT-2022-3700 · Busybox+2 · Busybox+2

Ariadne Conill · Publicado 2022-04-03 · Atualizado 2024-05-28 · CVE-2022-28391

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do BusyBox anteriores à 1.35.0

Descrição

O problema está relacionado à falta de sanitização de entradas no conjunto de utilitários de linha de comando do BusyBox, afetando especificamente o utilitário netstat ao exibir registros PTR de DNS em um terminal compatível com VT. Isso poderia permitir que um invasor remoto executasse código arbitrário ou alterasse as cores do terminal.

Recomendações

Para versões anteriores à 1.35.0, atualize para a versão 1.35.0 ou posterior para resolver o problema.

Como solução temporária, considere restringir o uso do utilitário netstat com registros DNS PTR em terminais compatíveis com VT até que um patch esteja disponível.

Exploit

Correção

RCE

Argument Injection

OS Command Injection

Command Injection

Enumeração de Fraquezas

CWE-88

CWE-78

CWE-77

Identificadores relacionados

AZL-41790

AZL-9311

BDU:2022-04487

BDU:2022-04661

CVE-2022-28391

MGASA-2022-0135

OESA-2022-1624

ROSA-SA-2024-2426

Produtos afetados

Astra Linux

Busybox

Red Os

Referências · 30

• 🔥 https://gitlab.alpinelinux.org/alpine/aports/-/issues/13661 · Exploit
• https://openeuler.org/en/security/safety-bulletin/detail.html?id=openEuler-SA-2022-1624 · Nota
• https://cve.org/CVERecord?id=CVE-2022-28391 · Nota de Segurança
• https://xn--80ahaefyxhn.xn--j1afgaq.xn--p1ai/bin/view/%D0%9E%D0%A1%D0%BD%D0%BE%D0%B2%D0%B0/%D0%9E%D0%B1%D0%BD%D0%BE%D0%B2%D0%BB%D0%B5%D0%BD%D0%B8%D1%8F/2.6 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-28391 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2022-04487 · Nota de Segurança
• https://cve.omprussia.ru/bb22402 · Nota
• https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-busybox-cve-2022-28391 · Nota
• https://cve.omprussia.ru/bb21 · Nota
• https://git.alpinelinux.org/aports/plain/main/busybox/0001-libbb-sockaddr2str-ensure-only-printable-characters-.patch · Aviso do Fabricante
• https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0316SE47MD · Aviso do Fabricante
• https://advisories.mageia.org/MGASA-2022-0135.html · Nota de Segurança
• https://osv.dev/vulnerability/AZL-41790 · Aviso do Fabricante
• https://bugs.mageia.org/show_bug.cgi?id=30246 · Nota
• https://osv.dev/vulnerability/OESA-2022-1624 · Aviso do Fabricante