PT-2024-31779 · Arduino · Arduino-Esp32

Pwntester · Publicado 2024-09-17 · Atualizado 2024-09-20 · CVE-2024-45798

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas:

arduino-esp32 (versões afetadas não especificadas)

Descrição:

O problema diz respeito a várias vulnerabilidades do tipo Poisoned Pipeline Execution (PPE) no CI do arduino-esp32, incluindo injeção de código no fluxo de trabalho tests results.yml e injeção de variáveis de ambiente. Essas vulnerabilidades podem levar à apropriação do repositório e possibilitam ataques remotos de alto impacto. Recomenda-se que os usuários verifiquem o conteúdo dos artefatos baixados.

Recomendações:

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Code Injection

OS Command Injection

RCE

Enumeração de Fraquezas

CWE-94

CWE-78

CWE-20

Identificadores relacionados

CVE-2024-45798

GHSA-H52Q-XHG2-6JW8

Produtos afetados

Arduino-Esp32

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/45xxx/CVE-2024-45798.json · Exploit
• https://github.com/espressif/arduino-esp32/security/advisories/GHSA-h52q-xhg2-6jw8 · Nota
• https://github.com/espressif/arduino-esp32/blob/690bdb511d9f001e2066da2dda2c631a3eee270f/.github/workflows/tests_results.yml · Nota
• https://securitylab.github.com/research/github-actions-preventing-pwn-requests · Nota
• https://codeql.github.com/codeql-query-help/javascript/js-actions-command-injection · Nota
• https://twitter.com/GHSecurityLab/status/1837163676572258764 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1836110623748300987 · Publicação no Twitter
• https://t.me/cvedetector/5840 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-45798 · Aviso do Fabricante
• https://twitter.com/Vu1nAlert/status/1836121381307646264 · Publicação no Twitter
• https://securitylab.github.com/research/github-actions-untrusted-input · Nota
• https://twitter.com/oktsec/status/1836142536240349305 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-45798 · Nota de Segurança