PT-2022-9890 · Unknown · Geonetwork

Tyler Sullivan · Publicado 2022-09-05 · Atualizado 2022-10-01 · CVE-2021-28398

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões 3.4.0 a 3.12.0 do GeoNetwork

Versões 4.0.0 a 4.0.3 do GeoNetwork

Descrição

Um invasor com privilégios pode usar o script pré-execução do coletor de diretórios para executar comandos arbitrários do sistema operacional remotamente na infraestrutura de hospedagem. Isso requer uma conta de usuário administrador ou de administrador. A vulnerabilidade ocorre no método runBeforeScript em harvesters/src/main/java/org/fao/geonet/kernel/harvest/harvester/localfilesystem/LocalFilesystemHarvester.java.

Recomendações

Para as versões 3.4.0 a 3.12.0 do GeoNetwork, atualize para a versão 3.12.0 ou posterior.

Para as versões 4.0.0 a 4.0.3 do GeoNetwork, atualize para a versão 4.0.4 ou posterior.

Como solução alternativa temporária, considere desativar o método runBeforeScript na classe LocalFilesystemHarvester até que um patch esteja disponível.

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2021-28398

GHSA-CF8P-C88C-H9JF

Produtos afetados

Geonetwork

Referências · 8

• https://github.com/geonetwork/core-geonetwork · Nota
• https://github.com/geonetwork/core-geonetwork/security/advisories/GHSA-cf8p-c88c-h9jf · Correção
• https://t.me/cvenotify/35741 · Publicação no Telegram
• https://geonetwork-opensource.org · Nota
• https://t.me/cvenotify/35937 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-28398 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-28398 · Nota de Segurança
• https://geonetwork-opensource.org/manuals/trunk/en/overview/change-log/version-3.6.0.html · Aviso do Fabricante