PT-2024-34357 · Unknown+3 · Owasp Dep-Scan+3

Eran-Medan · Publicado 2024-10-27 · Atualizado 2025-02-02 · CVE-2024-50611

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas:

Versões do CycloneDX cdxgen anteriores à 11.1.7

Descrição:

A vulnerabilidade permite a execução de código contido em arquivos relacionados à compilação, como build.gradle.kts, quando executados em uma base de código não confiável. Isso é semelhante a uma vulnerabilidade identificada anteriormente. A ferramenta cdxgen é utilizada por diversos aplicativos, incluindo o OWASP dep-scan. Observou-se que se trata de uma limitação de projeto, e não de um erro de implementação.

Recomendações:

Para versões anteriores à 11.1.7, atualize para a versão 11.1.7 ou posterior, que introduz um “modo seguro” que utiliza permissões do Node.js para controlar o acesso a recursos, limitando o acesso a arquivos e a execução de processos.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2024-50611

GHSA-HXF3-VGPM-FV9P

Produtos afetados

Cyclonedx

Node.Js

Owasp Dep-Scan

Cdxgen

Referências · 11

• https://github.com/CycloneDX/cdxgen/issues/1328 · Nota
• https://github.com/CycloneDX/cdxgen/releases · Nota
• https://github.com/CycloneDX/cdxgen/pull/1614 · Nota
• https://github.com/CycloneDX/cdxgen/releases/tag/v11.1.7 · Nota
• https://github.com/CycloneDX/cdxgen · Nota
• https://osv.dev/vulnerability/CVE-2024-50611 · Aviso do Fabricante
• https://t.me/cvedetector/9069 · Publicação no Telegram
• https://owasp.org/www-project-dep-scan · Nota
• https://osv.dev/vulnerability/GHSA-hxf3-vgpm-fv9p · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-50611 · Nota de Segurança
• https://twitter.com/CycloneDX_Spec/status/1886078502253814013 · Publicação no Twitter