PT-2024-32338 · Genie · Genie

Jmoritzc53 + 1 · Publicado 2024-05-09 · Atualizado 2025-10-25 · CVE-2024-4701

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L

Nome do software vulnerável e versões afetadas

Versões do Genie anteriores à 4.3.18

Descrição

Existe uma falha de traversal de caminho no Genie que pode levar à execução remota de código. A falha decorre de uma vulnerabilidade na API que aceita uploads de arquivos via multipart/form-data. A API utiliza um nome de arquivo fornecido pelo usuário ao gravar arquivos no disco, permitindo que um agente mal-intencionado manipule o nome do arquivo para realizar o traversal de caminho. Essa manipulação pode permitir a gravação de arquivos com nomes e conteúdos especificados pelo usuário em locais arbitrários no sistema de arquivos onde o processo Java tenha acesso de gravação. Usuários que não armazenam anexos de arquivos localmente não são afetados. A vulnerabilidade afeta instâncias do Genie OSS que dependem do sistema de arquivos para armazenar anexos enviados ao aplicativo.

Recomendações

Atualize para a versão 4.3.18 do Genie OSS.

Correção

RCE

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2024-4701

GHSA-WPCV-5JGP-69F3

Produtos afetados

Genie

Referências · 16

• https://github.com/Netflix/genie/releases/tag/v4.3.18 · Nota
• https://github.com/Netflix/genie/security/advisories/GHSA-wpcv-5jgp-69f3 · Nota
• https://github.com/Netflix/genie/pull/1217 · Nota
• https://github.com/Netflix/genie · Nota
• https://github.com/Netflix/genie/commit/6bad017d8078c94e80d6c6fe8abd693910bf55cf · Nota
• https://github.com/Netflix/security-bulletins/blob/master/advisories/nflx-2024-001.md · Nota
• https://reddit.com/r/CVEWatch/comments/1o9rw9p/top_10_trending_cves_18102025 · Publicação no Reddit
• https://twitter.com/RobinsonPauli18/status/1978960308396765375 · Publicação no Twitter
• https://twitter.com/BrutalSam_/status/1979062852284510424 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-wpcv-5jgp-69f3 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-4701 · Nota de Segurança
• https://twitter.com/BrutalSam_/status/1981520822524379579 · Publicação no Twitter
• https://twitter.com/XynikIT/status/1793268679351632325 · Publicação no Twitter
• https://t.me/pentestingnews/46778 · Publicação no Telegram
• https://biteyourconsole.net/2025/10/25/scena-ps5-netflix-nel-mirino-della-scena-hacking-spunta-un-nuovo-e-potenziale-exploit-userland-su-console-playstation-5/?fsp_sid=44642 · Publicação no Reddit