PT-2024-18995 · Pyload · Pyload

Pinkdraconian · Publicado 2024-01-08 · Atualizado 2024-01-11 · CVE-2024-21645

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do pyload anteriores à 0.5.0b3.dev77

Descrição

Uma falha de injeção de log permite que qualquer agente não autenticado injete mensagens arbitrárias nos logs coletados pelo pyload. Isso pode ser feito fornecendo um nome de usuário que contenha uma quebra de linha ao tentar fazer login com credenciais incorretas, já que a quebra de linha não é escapada corretamente e serve como delimitador entre as entradas do log. Arquivos de log falsificados ou corrompidos podem ser usados para encobrir os rastros de um invasor ou implicar outra parte em um ato malicioso.

Recomendações

Para versões anteriores à 0.5.0b3.dev77, atualize para a versão 0.5.0b3.dev77 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à funcionalidade de login para minimizar o risco de exploração. Evite usar o parâmetro username no endpoint de login até que o problema seja resolvido.

Exploit

Correção

Special Elements Injection

Enumeração de Fraquezas

CWE-74

Identificadores relacionados

CVE-2024-21645

GHSA-GHMW-RWH8-6QMR

Produtos afetados

Pyload

Referências · 8

• 🔥 https://github.com/pyload/pyload/security/advisories/GHSA-ghmw-rwh8-6qmr · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/21xxx/CVE-2024-21645.json · Exploit
• https://github.com/pyload/pyload · Nota
• https://github.com/pyload/pyload/commit/4159a1191ec4fe6d927e57a9c4bb8f54e16c381d · Correção
• https://osv.dev/vulnerability/GHSA-ghmw-rwh8-6qmr · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-21645 · Aviso do Fabricante
• https://t.me/cvenotify/66617 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-21645 · Nota de Segurança