PT-2024-28745 · Rejetto · Rejetto Hfs

Charmindoge · Publicado 2024-07-04 · Atualizado 2024-08-24 · CVE-2024-39943

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

rejetto HFS (também conhecido como HTTP File Server) versões anteriores à 0.52.10

Descrição

A vulnerabilidade permite a execução de comandos do sistema operacional por usuários remotos autenticados que possuam permissões de upload. Isso ocorre porque um shell é usado para executar df com execSync em vez de spawnSync no child process no Node.js. Uma exploração de prova de conceito foi divulgada, representando uma ameaça significativa para sistemas que executam versões do HFS anteriores à 0.52.10 no Linux, UNIX e macOS.

Recomendações

Atualize para a versão 0.52.10 para permanecer protegido. Como solução temporária, considere restringir as permissões de upload para usuários remotos autenticados até que a atualização seja aplicada. Além disso, tenha cuidado ao usar a função execSync no Node.js, pois ela pode representar riscos de segurança se não for usada corretamente.

Exploit

Correção

Improper Access Control

OS Command Injection

Enumeração de Fraquezas

CWE-284

CWE-78

Identificadores relacionados

CVE-2024-39943

GHSA-5F4X-HWV2-W9W2

Produtos afetados

Rejetto Hfs

Referências · 28

• 🔥 https://github.com/truonghuuphuc/CVE-2024-39943-Poc · Exploit
• https://github.com/rejetto/hfs/commit/305381bd36eee074fb238b64302a252668daad1d · Correção
• https://github.com/rejetto/hfs/compare/v0.52.9...v0.52.10 · Correção
• https://github.com/rejetto/hfs · Nota
• https://twitter.com/cracbot/status/1810192188686684623 · Publicação no Twitter
• https://twitter.com/Dinosn/status/1809422902376251747 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1809026376508281218 · Publicação no Twitter
• https://twitter.com/CCBalert/status/1810325407238947132 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-39943 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-39943 · Nota de Segurança
• https://twitter.com/CVEnew/status/1808996934155137319 · Publicação no Twitter
• https://twitter.com/threatpulse/status/1809590123006423050 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-5f4x-hwv2-w9w2 · Aviso do Fabricante
• https://twitter.com/CveFindCom/status/1808999996986986929 · Publicação no Twitter
• https://twitter.com/fridaysecurity/status/1809401794222596436 · Publicação no Twitter