PT-2024-24927 · Pimcore · Pimcore

Dandanx + 1 · Publicado 2024-06-04 · Atualizado 2024-06-10 · CVE-2024-32871

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do Pimcore anteriores à 11.2.4

Descrição

O mecanismo de geração de miniaturas do Pimcore pode ser explorado para sobrecarregar o servidor com arquivos de grande porte. Os invasores podem criar arquivos com tamanho muito superior ao original, alterando a extensão do arquivo ou o fator de escala da miniatura solicitada. Todos os formatos de arquivo suportados pelo Imagick podem ser servidos sem filtragem, permitindo que invasores criem arquivos em vários formatos, incluindo representações de texto de imagens. Isso pode levar à exposição de dados privados, como informações de GPS em imagens enviadas pelos usuários. Além disso, a vulnerabilidade pode ser usada para criar arquivos duplicados no servidor com formatos de arquivo arbitrários. O fator de escala não é limitado e pode ser modificado via URL, permitindo que invasores criem novos arquivos a cada solicitação e, potencialmente, sobrecarreguem a CPU.

Recomendações

Para versões anteriores à 11.2.4, implemente uma lista de formatos permitidos que o desenvolvedor possa modificar se necessário e retorne um erro ou um 404 para formatos não suportados. Limite os fatores de escala com uma lista de permissões para impedir a exploração. Para versões do Pimcore que não recebem manutenção, considere usar a configuração do servidor web para servir apenas arquivos permitidos. Como solução temporária, considere desativar o recurso de geração de miniaturas até que um patch esteja disponível. Restrinja o acesso ao endpoint de miniaturas vulnerável para minimizar o risco de exploração. Evite usar formatos de arquivo e fatores de escala arbitrários em solicitações de miniaturas

Exploit

Correção

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-770

Identificadores relacionados

CVE-2024-32871

GHSA-277C-5VVJ-9PWX

Produtos afetados

Pimcore

Referências · 10

• 🔥 https://github.com/pimcore/pimcore/security/advisories/GHSA-277c-5vvj-9pwx · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/32xxx/CVE-2024-32871.json · Exploit
• https://github.com/pimcore/pimcore · Nota
• https://github.com/pimcore/pimcore/commit/a6821a16ea38086bf6012e682e1743488244bd85 · Correção
• https://github.com/pimcore/pimcore/commit/38af70b3130f16fc27f2aea34e2943d7bdaaba06 · Correção
• https://osv.dev/vulnerability/GHSA-277c-5vvj-9pwx · Aviso do Fabricante
• https://t.me/cvenotify/81939 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-32871 · Nota de Segurança
• https://t.me/cvenotify/82680 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-32871 · Aviso do Fabricante