PT-2024-28729 · Thruk · Thruk

Sergey Bobrov · Publicado 2024-07-15 · Atualizado 2024-08-13 · CVE-2024-39915

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Thruk anteriores à 3.16

Descrição

Esta vulnerabilidade permite que usuários autorizados com acesso à rede injetem comandos arbitrários por meio do parâmetro URL durante a geração de relatórios em PDF. O aplicativo web Thruk não processa corretamente o parâmetro url ao gerar um relatório em PDF. Um invasor autorizado com acesso à funcionalidade de relatórios poderia injetar comandos arbitrários que seriam executados quando o script /script/html2pdf.sh fosse chamado. A vulnerabilidade pode ser explorada por um usuário autorizado com acesso à rede.

Recomendações

Para versões anteriores à 3.16, atualize para a versão 3.16 para corrigir o problema. Como solução temporária, considere restringir o acesso à funcionalidade de geração de relatórios para minimizar o risco de exploração. Evite usar o parâmetro URL vulnerável no endpoint da API afetado até que o problema seja resolvido.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2024-39915

GHSA-R7GX-H738-4W6F

Produtos afetados

Thruk

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/39xxx/CVE-2024-39915.json · Exploit
• https://github.com/sni/Thruk/security/advisories/GHSA-r7gx-h738-4w6f · Nota
• https://github.com/sni/Thruk/commit/7e7eb251e76718a07639c4781f0d959d817f173b · Nota
• https://t.me/cvedetector/905 · Publicação no Telegram
• https://t.me/black4fan/10 · Publicação no Telegram
• https://t.me/cvenotify/86276 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-39915 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-39915 · Nota de Segurança