PT-2024-29664 · Unknown+1 · Ruby On Rails+1

CVE-2024-41961 · Publicado 2024-08-01 · Atualizado 2024-08-01

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do Elektra anteriores àquela que contém o commit 8bce00be93b95a6512ff68fe86bf9554e486bc02

Descrição

Foi descoberta uma vulnerabilidade de injeção de código na funcionalidade de pesquisa em tempo real do aplicativo web Elektra, desenvolvido em Ruby on Rails. Essa vulnerabilidade permite que um usuário autenticado crie um termo de pesquisa que contenha código Ruby. O termo de pesquisa criado é direcionado para uma função eval, resultando na execução do código injetado.

Recomendações

Para versões anteriores àquela que contém o commit 8bce00be93b95a6512ff68fe86bf9554e486bc02, atualize para uma versão que inclua a correção do commit 8bce00be93b95a6512ff68fe86bf9554e486bc02 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à funcionalidade de pesquisa em tempo real até que a atualização possa ser aplicada.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2024-41961

GHSA-6J2H-486H-487Q

Produtos afetados

Elektra

Ruby On Rails

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/41xxx/CVE-2024-41961.json · Exploit
• https://github.com/sapcc/elektra/security/advisories/GHSA-6j2h-486h-487q · Nota
• https://github.com/sapcc/elektra/commit/8bce00be93b95a6512ff68fe86bf9554e486bc02 · Nota
• https://github.com/sapcc/elektra/commit/49aea3b365082681558bf3bf7bf4a51766cfc44d · Nota
• https://t.me/cvedetector/2235 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-41961 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-41961 · Nota de Segurança