PT-2024-19288 · Google+1 · Guava+1

Michael Kimball · Publicado 2024-01-31 · Atualizado 2024-02-09 · CVE-2024-22236

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões 3.1.x do Spring Cloud Contract anteriores à 3.1.10

Versões 4.0.x do Spring Cloud Contract anteriores à 4.0.5

Versões 4.1.x do Spring Cloud Contract anteriores à 4.1.1

Descrição

O problema diz respeito à divulgação de informações locais por meio de um diretório temporário criado com permissões inseguras através da dependência sombreada com.google.guava:guava na dependência org.springframework.cloud:spring-cloud-contract-shade. Isso afeta a execução de testes nas versões especificadas do Spring Cloud Contract.

Recomendações

Para versões 3.1.x anteriores à 3.1.10, atualize para a versão 3.1.10 ou posterior.

Para versões 4.0.x anteriores à 4.0.5, atualize para a versão 4.0.5 ou posterior.

Para versões 4.1.x anteriores à 4.1.1, atualize para a versão 4.1.1 ou posterior.

Correção

Incorrect Permission

Enumeração de Fraquezas

CWE-377

CWE-732

Identificadores relacionados

CVE-2024-22236

GHSA-P6RP-MX85-M459

Produtos afetados

Guava

Spring Cloud Contract

Referências · 11

• https://github.com/spring-cloud/spring-cloud-contract · Nota
• https://spring.io/security/cve-2024-22236 · Aviso do Fabricante
• https://t.me/cvenotify/70705 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-p6rp-mx85-m459 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-22236 · Nota de Segurança
• https://t.me/cvenotify/69328 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1752591234995196000 · Publicação no Twitter
• https://twitter.com/autumn_good_35/status/1752740276324729284 · Publicação no Twitter
• https://t.me/cvenotify/69290 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-22236 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1752658071061438724 · Publicação no Twitter