PT-2024-33129 · Abb · Abb Drive Composer

Thomas Chauchefoin · Publicado 2024-11-13 · Atualizado 2025-07-19 · CVE-2024-48510

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões 1.16.0 e anteriores do DotNetZip

Versões anteriores à 2.9.1 do ABB Drive Composer

Descrição

A vulnerabilidade permite que um invasor remoto execute código arbitrário por meio do componente src/Zip.Shared/ZipEntry.Extract.cs. Isso afeta produtos que não são mais suportados pelo mantenedor. O problema já teria sido explorado em ataques reais.

Recomendações

Para as versões 1.16.0 e anteriores do DotNetZip, considere desativar o componente ZipEntry.Extract.cs até que uma correção esteja disponível.

Para as versões anteriores à 2.9.1 do ABB Drive Composer, atualize para a versão 2.9.1 para obter proteção.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

BDU:2026-00104

CVE-2024-48510

GHSA-XHG6-9J5J-W4VF

Produtos afetados

Abb Drive Composer

Referências · 28

• https://github.com/haf/DotNetZip.Semverd · Nota
• https://github.com/haf/DotNetZip.Semverd/blob/e487179b33a9a0f2631eed5fb04d2c952ea5377a/src/Zip.Shared/ZipEntry.Extract.cs#L1365-L1410 · Nota
• https://github.com/mihula/ProDotNetZip/commit/18486ad6d13742a07a6755ef6edf60d7458f1854 · Nota
• https://github.com/mihula/ProDotNetZip/pull/21 · Nota
• https://t.me/cvenotify/120607 · Publicação no Telegram
• https://gist.github.com/thomas-chauchefoin-bentley-systems/855218959116f870f08857cce2aec731 · Correção
• https://osv.dev/vulnerability/CVE-2024-48510 · Aviso do Fabricante
• https://t.me/pentestingnews/56318 · Publicação no Telegram
• https://twitter.com/transilienceai/status/1888561467068239904 · Publicação no Twitter
• https://twitter.com/transilienceai/status/1889502881062986005 · Publicação no Twitter
• https://twitter.com/transilienceai/status/1888379702760321136 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-48510 · Nota de Segurança
• https://twitter.com/CVEnew/status/1856717967007842648 · Publicação no Twitter
• https://twitter.com/Dinosn/status/1888799894325879274 · Publicação no Twitter
• https://twitter.com/TweetThreatNews/status/1888997224794771670 · Publicação no Twitter