PT-2022-8076 · Codecov+1 · Codecov+1

Sam Sanoop · Publicado 2022-07-13 · Atualizado 2022-11-08 · CVE-2019-10800

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.1

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do codecov anteriores à 2.0.16

Descrição

O problema decorre da falha na sanitização dos argumentos do gcov antes de serem passados para o método popen. Essa falta de sanitização pode levar a uma possível exploração.

Recomendações

Para versões anteriores à 2.0.16, atualize para a versão 2.0.16 ou posterior para resolver o problema. Como solução temporária, considere restringir a entrada dos argumentos gcov para minimizar o risco de exploração.

Exploit

Correção

Argument Injection

Enumeração de Fraquezas

CWE-88

Identificadores relacionados

CVE-2019-10800

GHSA-H3QR-FJHM-JPHW

OPENSUSE-SU-2022_2752-1

PYSEC-2022-238

SNYK-PYTHON-CODECOV-552149

SUSE-SU-2022:2752-1

Produtos afetados

Suse

Codecov

Referências · 14

• 🔥 https://snyk.io/vuln/SNYK-PYTHON-CODECOV-552149 · Exploit
• https://github.com/pypa/advisory-database/tree/main/vulns/codecov/PYSEC-2022-238.yaml · Nota
• https://github.com/codecov/codecov-python · Nota
• https://github.com/codecov/codecov-python/commit/2a80aa434f74feb31242b6f213b75ce63ae97902 · Correção
• https://github.com/advisories/GHSA-h3qr-fjhm-jphw · Nota
• https://suse.com/support/update/announcement/2022/suse-su-20222752-1 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2019-10800 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2022-238 · Aviso do Fabricante
• https://bugzilla.suse.com/1201494 · Nota
• https://osv.dev/vulnerability/SUSE-SU-2022:2752-1 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2019-10800 · Nota
• https://osv.dev/vulnerability/CVE-2019-10800 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-h3qr-fjhm-jphw · Aviso do Fabricante
• https://t.me/cibsecurity/46156 · Publicação no Telegram