PT-2024-20534 · Crafatar · Crafatar

J-295 · Publicado 2024-02-01 · Atualizado 2024-02-09 · CVE-2024-24756

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Crafatar anteriores à 2.1.5

Descrição

O Crafatar fornece avatares do Minecraft baseados em skins para uso em aplicativos externos. Arquivos fora do diretório lib/public/ podem ser solicitados ao servidor. Instâncias executadas por trás do Cloudflare, incluindo crafatar.com, não são afetadas. No entanto, instâncias que utilizam o contêiner Docker, conforme mostrado no README, são afetadas, mas apenas os arquivos dentro do contêiner podem ser lidos. Por padrão, todos os arquivos dentro do contêiner também podem ser encontrados neste repositório e não são confidenciais.

Recomendações

Para versões anteriores à 2.1.5, atualize para a versão 2.1.5 para resolver o problema. Como solução temporária, considere restringir o acesso a arquivos confidenciais fora do diretório lib/public/ até que a atualização seja aplicada.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2024-24756

GHSA-5CXQ-25MP-Q5F2

Produtos afetados

Crafatar

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/24xxx/CVE-2024-24756.json · Exploit
• 🔥 https://github.com/crafatar/crafatar/security/advisories/GHSA-5cxq-25mp-q5f2 · Exploit
• https://github.com/crafatar/crafatar/blob/e0233f2899a3206a817d2dd3b80da83d51c7a726/lib/server.js#L64-L67 · Nota
• https://github.com/crafatar/crafatar/commit/bba004acc725b362a5d2d5dfe30cf60e7365a373 · Correção
• https://osv.dev/vulnerability/CVE-2024-24756 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1753189608832000380 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1753234163530928637 · Publicação no Twitter
• https://t.me/cvenotify/70876 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-24756 · Nota de Segurança