PT-2022-7187 · Labstack+1 · Labstack Echo+1

Ruokeqx · Publicado 2022-09-28 · Atualizado 2022-10-11 · CVE-2022-40083

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Labstack Echo versão 4.8.0

Descrição

O problema está relacionado a uma vulnerabilidade de redirecionamento aberto por meio do componente Static Handler, que pode ser explorada por invasores para causar uma falsificação de solicitação do lado do servidor (SSRF). Isso permite que um invasor remoto execute um ataque SSRF redirecionando para um site não confiável.

Recomendações

Para o Labstack Echo versão 4.8.0, atualize para a versão 4.9.0 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao componente Static Handler para minimizar o risco de exploração.

Exploit

Correção

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

BDU:2023-08980

CVE-2022-40083

GHSA-CRXJ-HRMP-4RWF

GO-2022-1031

Produtos afetados

Debian

Labstack Echo

Referências · 18

• 🔥 https://github.com/labstack/echo/issues/2259 · Exploit
• https://github.com/labstack/echo · Nota
• https://github.com/labstack/echo/pull/2260 · Nota
• https://github.com/labstack/echo/commit/0ac4d74402391912ff6da733bb09fd4c3980b4e1 · Nota
• https://github.com/labstack/echo/pull/2260/commits/3154abd1401554fe4d1c09ec550506d8625fc042 · Nota
• https://github.com/labstack/echo/releases/tag/v4.9.0 · Nota
• https://osv.dev/vulnerability/CVE-2022-40083 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-40083 · Nota de Segurança
• https://ubuntu.com/security/CVE-2022-40083 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-40083 · Aviso do Fabricante
• https://pkg.go.dev/vuln/GO-2022-1031 · Nota
• https://osv.dev/vulnerability/GO-2022-1031 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2022-40083 · Aviso do Fabricante
• https://t.me/cibsecurity/50583 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-crxj-hrmp-4rwf · Aviso do Fabricante