PT-2024-31512 · Byob · Byob

Chebuya

·

Publicado

2024-08-25

·

Atualizado

2024-10-15

·

CVE-2024-45256

CVSS v3.1

9.8

Crítica

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
BYOB (Build Your Own Botnet) versão 2.0
Descrição
Uma falha que permite a gravação arbitrária de arquivos no endpoint de exfiltração permite que invasores sobrescrevam bancos de dados SQLite e contornem a autenticação por meio de uma solicitação HTTP não autenticada com um parâmetro manipulado. Isso ocorre na função file add no arquivo api/files/routes.py.
Recomendações
Como solução temporária, considere desativar a função file add em api/files/routes.py até que um patch esteja disponível.
Restrinja o acesso ao endpoint de exfiltração para minimizar o risco de exploração.
Evite usar parâmetros manipulados em solicitações HTTP não autenticadas para o endpoint afetado até que o problema seja resolvido.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Path traversal

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2024-45256

Produtos afetados

Byob