PT-2022-4664 · Crow · Crow

Gynvael Coldwind + 1 · Publicado 2022-08-22 · Atualizado 2023-08-08 · CVE-2022-38668

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Crow até 1.0+4

Descrição

O problema está relacionado a aplicações HTTP baseadas no Crow, que podem revelar dados não inicializados potencialmente confidenciais da memória da pilha ao atender a uma solicitação de um arquivo estático com menos de 16 KB. Isso poderia permitir que um invasor remoto obtivesse acesso não autorizado a informações protegidas. A vulnerabilidade está associada à falta de proteção dos dados do serviço.

Recomendações

Para as versões do Crow até 1.0+4, considere atualizar para uma versão que corrija este problema, pois a versão atual pode revelar dados confidenciais da memória da pilha.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Use of Uninitialized Resource

Information Disclosure

Enumeração de Fraquezas

CWE-908

CWE-200

Identificadores relacionados

BDU:2022-05549

CVE-2022-38668

Produtos afetados

Crow

Referências · 10

• 🔥 https://github.com/0xhebi/CVEs/blob/main/Crow/CVE-2022-38668.md · Exploit
• 🔥 https://gynvael.coldwind.pl/?id=752 · Exploit
• https://github.com/CrowCpp/Crow/pull/523 · Nota
• https://t.me/cibsecurity/48558 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2022-05549 · Nota de Segurança
• https://t.me/cvenotify/35039 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-38668 · Nota de Segurança
• https://t.me/echeloneyes/638 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-38668 · Aviso do Fabricante
• https://t.me/cvenotify/35153 · Publicação no Telegram