PT-2024-29333 · Filestash · Filestash

Publicado 2024-07-31 · Atualizado 2024-08-06 · CVE-2024-41255

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

filestash versão 0.4

Descrição

O problema está relacionado ao fato de o filestash estar configurado para ignorar a verificação do certificado TLS ao usar o protocolo FTPS. Isso poderia permitir que invasores executassem um ataque man-in-the-middle por meio da função Init do arquivo index.go.

Recomendações

Para o filestash versão 0.4, considere desativar o protocolo FTPS até que uma correção esteja disponível para habilitar a verificação do certificado TLS. Restrinja o acesso à função Init do index.go para minimizar o risco de exploração. Evite usar o protocolo FTPS no filestash até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Improper Certificate Validation

Enumeração de Fraquezas

CWE-453

CWE-295

Identificadores relacionados

CVE-2024-41255

GHSA-4JMM-C6JW-G796

GO-2024-3033

Produtos afetados

Filestash

Referências · 12

• https://github.com/mickael-kerjean/filestash · Nota
• https://github.com/mickael-kerjean/filestash/blob/master/server/plugin/plg_backend_ftp/index.go#L108 · Nota
• https://github.com/mickael-kerjean/filestash/issues/710 · Nota
• https://osv.dev/vulnerability/GO-2024-3033 · Aviso do Fabricante
• https://pkg.go.dev/vuln/GO-2024-3033 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-41255 · Nota de Segurança
• https://t.me/cvedetector/2176 · Publicação no Telegram
• https://gist.github.com/nyxfqq/c367f2ca9448810924dcf0f1af30b441 · Nota
• https://github.com/advisories/GHSA-4jmm-c6jw-g796 · Nota
• https://osv.dev/vulnerability/CVE-2024-41255 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-4jmm-c6jw-g796 · Aviso do Fabricante
• https://t.me/cvenotify/88250 · Publicação no Telegram