PT-2024-14104 · Snakeyaml+1 · Snakeyaml+1

Luelueking · Publicado 2024-02-22 · Atualizado 2025-01-16 · CVE-2023-51389

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Hertzbeat anteriores à 1.4.1

Descrição

O Hertzbeat é um sistema de monitoramento em tempo real. Na interface “/define/yml”, o SnakeYAML é utilizado como analisador para processar o conteúdo YAML, mas não há nenhuma configuração de segurança, o que resulta em uma vulnerabilidade de deserialização YAML.

Recomendações

Para versões anteriores à 1.4.1, atualize para a versão 1.4.1 para corrigir a vulnerabilidade. Como solução temporária, considere restringir o acesso à interface “/define/yml” até que a atualização seja aplicada.

Exploit

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2023-51389

GHSA-RMVR-9P5X-MM96

Produtos afetados

Hertzbeat

Snakeyaml

Referências · 9

• 🔥 https://github.com/dromara/hertzbeat/security/advisories/GHSA-rmvr-9p5x-mm96 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2023/51xxx/CVE-2023-51389.json · Exploit
• https://github.com/dromara/hertzbeat/commit/97c3f14446d1c96d1fc993df111684926b6cce17 · Correção
• https://twitter.com/cracbot/status/1760907396652859527 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1760706490334367814 · Publicação no Twitter
• https://t.me/cvenotify/72224 · Publicação no Telegram
• https://t.me/cvenotify/107675 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2023-51389 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2023-51389 · Aviso do Fabricante