PT-2022-5024 · Slack · Slack Morphism

Abdolence · Publicado 2022-10-10 · Atualizado 2022-10-11 · CVE-2022-39292

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Slack Morphism anteriores à 1.3.2

Descrição

O problema está relacionado à exposição de informações confidenciais nos registros de depuração. Especificamente, os registros de depuração podem conter URLs confidenciais de webhooks do Slack que incluem informações privadas. Isso poderia permitir que um invasor remoto obtivesse acesso não autorizado a informações protegidas.

Recomendações

Para versões anteriores à 1.3.2, atualize para a versão 1.3.2, que oculta URLs confidenciais para webhooks.

Como solução alternativa temporária, considere desativar ou filtrar os logs de depuração, especialmente ao usar webhooks do Slack, ajustando o nível de log de rastreamento e os filtros.

Exploit

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-1258

CWE-200

Identificadores relacionados

BDU:2022-06237

CVE-2022-39292

GHSA-4MJX-2GH5-PH8H

RUSTSEC-2022-0087

Produtos afetados

Slack Morphism

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/39xxx/CVE-2022-39292.json · Exploit
• https://github.com/abdolence/slack-morphism-rust/security/advisories/GHSA-4mjx-2gh5-ph8h · Nota
• https://github.com/abdolence/slack-morphism-rust/releases/tag/v1.3.2 · Nota
• https://github.com/abdolence/slack-morphism-rust/commit/48a1da2dc2ad3a5ccc60036d43f6f8fbb2c15f1d · Nota
• https://github.com/abdolence/slack-morphism-rust · Nota
• https://github.com/abdolence/slack-morphism-rust/commit/65ef9fac4f39c4e171e2952a6cf029bb0d059a89 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-39292 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-4mjx-2gh5-ph8h · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2022-06237 · Nota de Segurança
• https://rustsec.org/advisories/RUSTSEC-2022-0087.html · Nota
• https://t.me/cibsecurity/51063 · Publicação no Telegram
• https://crates.io/crates/slack-morphism · Nota
• https://osv.dev/vulnerability/RUSTSEC-2022-0087 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-39292 · Aviso do Fabricante