PT-2024-20466 · Unknown · Stereoscope

Wagoodman · Publicado 2024-01-31 · Atualizado 2024-02-13 · CVE-2024-24579

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do stereoscope anteriores à 0.0.1

Descrição

É possível criar um arquivo tar OCI que, quando o stereoscope tentar descompactar o conteúdo, resultará na gravação em caminhos fora do diretório temporário de descompactação. Este problema está relacionado ao uso da função github.com/anchore/stereoscope/pkg/file.UntarToDirectory(), da estrutura github.com/anchore/stereoscope/pkg/image/oci.TarballImageProvider ou da função de nível superior github.com/anchore/stereoscope/pkg/image.Image.Read().

Recomendações

Como solução temporária, considere mudar para o uso de um layout OCI, descompactando o arquivo tar e fornecendo o diretório descompactado ao stereoscope.

Para versões anteriores à 0.0.1, atualize para a versão 0.0.1 para resolver o problema.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2024-24579

GHSA-HPXR-W9W7-G4GV

GO-2024-2490

Produtos afetados

Stereoscope

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/24xxx/CVE-2024-24579.json · Exploit
• https://github.com/anchore/stereoscope/commit/09dacab4d9ee65ee8bc7af8ebf4aa7b5aaa36204 · Correção
• https://github.com/anchore/stereoscope · Nota
• https://github.com/anchore/stereoscope/security/advisories/GHSA-hpxr-w9w7-g4gv · Nota
• https://twitter.com/CVEnew/status/1752736624360751325 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-24579 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1752789067777843250 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-24579 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-hpxr-w9w7-g4gv · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2024-2490 · Aviso do Fabricante