PT-2024-19818 · Hoolock · Hoolock

Publicado 2024-01-22 · Atualizado 2024-01-30 · CVE-2024-23339

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

hoolock, versões 2.0.0 a 2.2.0

Descrição

O problema diz respeito às funções utilitárias relacionadas a caminhos de objetos, especificamente get, set e update, que não bloqueavam tentativas de acessar ou alterar protótipos de objetos. Isso poderia permitir o acesso ou a modificação não autorizados de propriedades herdadas. A partir da versão 2.2.1, essas funções lançam um TypeError quando um usuário tenta acessar ou alterar propriedades herdadas.

Recomendações

Para as versões 2.0.0 a 2.2.0 do hoolock, atualize para a versão 2.2.1 ou posterior, na qual as funções get, set e update lançarão um TypeError ao tentar acessar ou alterar propriedades herdadas, mitigando assim o problema.

Exploit

Correção

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

Identificadores relacionados

CVE-2024-23339

GHSA-4C2G-HX49-7H25

Produtos afetados

Hoolock

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/23xxx/CVE-2024-23339.json · Exploit
• ❌ https://github.com/elijahharry/hoolock/security/advisories/GHSA-4c2g-hx49-7h25 · Aviso do Fabricante, Deleted
• https://t.me/cvenotify/68266 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1749571670602649615 · Publicação no Twitter
• ❌ https://github.com/elijahharry/hoolock/commit/97ae80e856774335d92743c635ffeae2f652b982 · Correção, Deleted
• https://osv.dev/vulnerability/CVE-2024-23339 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-23339 · Nota de Segurança
• https://t.me/cvenotify/68321 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1749607995724435909 · Publicação no Twitter
• ❌ https://github.com/elijahharry/hoolock · Nota, Deleted
• https://osv.dev/vulnerability/GHSA-4c2g-hx49-7h25 · Aviso do Fabricante