PT-2024-28722 · Vnote · Vnote

Hijack-Everything · Publicado 2024-07-11 · Atualizado 2024-07-11 · CVE-2024-39904

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do VNote anteriores à 3.18.1

Descrição

Existia uma falha de execução de código no VNote, permitindo que um invasor executasse programas arbitrários no sistema da vítima. Isso poderia ser feito usando uma URI maliciosa em uma nota, como file:///C:/WINDOWS/system32/cmd.exe ou file:///C:/WINDOWS/system32/calc.exe, que faz referência a um arquivo executável local. A vulnerabilidade pode ser explorada através da criação e do compartilhamento de notas especialmente criadas, o que pode levar a novos ataques.

Recomendações

Para versões anteriores à 3.18.1, atualize para a versão 3.18.1 para resolver o problema. Como solução temporária, considere evitar o uso de links file:/// em notas até que a atualização seja aplicada. Restrinja o acesso ao compartilhamento de notas de fontes não confiáveis para minimizar o risco de exploração.

Exploit

Correção

Enumeração de Fraquezas

CWE-73

Identificadores relacionados

CVE-2024-39904

GHSA-VHH5-8WCV-68GJ

Produtos afetados

Vnote

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/39xxx/CVE-2024-39904.json · Exploit
• https://github.com/vnotex/vnote/commit/3477469b669708ff547037fda9fc2817870428aa · Nota
• https://github.com/vnotex/vnote/security/advisories/GHSA-vhh5-8wcv-68gj · Nota
• https://twitter.com/CVEnew/status/1811428034458575294 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1811430653616894083 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-39904 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-39904 · Aviso do Fabricante
• https://t.me/cvedetector/663 · Publicação no Telegram