PT-2024-31572 · Unknown+6 · App::Cpanminus+6

Stig Palmquist · Publicado 2024-08-26 · Atualizado 2025-07-09 · CVE-2024-45321

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

App::cpanminus versões 1.7047 e anteriores

Descrição

O pacote App::cpanminus para Perl baixa código via HTTP não seguro, permitindo a execução de código por invasores de rede. Essa vulnerabilidade permite que invasores interceptem o tráfego.

Recomendações

Para as versões 1.7047 e anteriores do App::cpanminus, considere desativar o uso de downloads via HTTP não seguro até que um patch esteja disponível. Como solução temporária, restrinja o acesso ao módulo para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Enumeração de Fraquezas

CWE-494

Identificadores relacionados

ALSA-2024:10218

ALSA-2024:10219

ALT-PU-2024-13289

CESA-2024_10219

CVE-2024-45321

INFSA-2024_10218

INFSA-2024_10219

MGASA-2024-0339

OPENSUSE-SU-2024:14291-1

RHSA-2024:10218

RHSA-2024_10218

RHSA-2024_10219

RLSA-2024:10218

RLSA-2024:10219

Produtos afetados

Alt Linux

Almalinux

App::Cpanminus

Centos

Debian

Red Hat

Rocky Linux

Referências · 47

• 🔥 https://security.metacpan.org/2024/08/26/cpanminus-downloads-code-using-insecure-http.html · Exploit
• https://github.com/miyagawa/cpanminus/pull/674 · Correção
• https://github.com/miyagawa/cpanminus/issues/611 · Nota
• https://t.me/pentestingnews/50894 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1828306851458408726 · Publicação no Twitter
• https://twitter.com/shah_sheikh/status/1829049231170253251 · Publicação no Twitter
• https://access.redhat.com/errata/RHSA-2024:10218 · Nota
• https://suse.com/security/cve/CVE-2024-45321 · Nota
• https://twitter.com/Brandefense/status/1830606579810423264 · Publicação no Twitter
• https://twitter.com/Dinosn/status/1828996430704279924 · Publicação no Twitter
• https://errata.rockylinux.org/RLSA-2024:10218 · Aviso do Fabricante
• https://access.redhat.com/security/cve/CVE-2024-45321 · Nota
• https://t.me/cvedetector/4226 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-45321 · Nota de Segurança
• https://errata.almalinux.org/8/ALSA-2024-10219.html · Aviso do Fabricante