PT-2024-39282 · Composiohq · Composio

Aftersnow · Publicado 2024-09-14 · Atualizado 2024-09-19 · CVE-2024-8864

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas:

Versões do composiohq composio até a 0.5.6

Descrição:

Foi encontrada uma vulnerabilidade crítica no composiohq composio, afetando a função Calculator do arquivo python/composio/tools/local/mathematical/actions/calculator.py. Esta falha leva à injeção de código. A exploração foi divulgada ao público e pode estar sendo utilizada. Houve relatos de atividades maliciosas visando esta vulnerabilidade. O fornecedor foi contatado sobre esta divulgação, mas não respondeu.

Recomendações:

Para versões até 0.5.6, aplique o patch imediatamente e analise os logs em busca de sinais de exploração. Como solução temporária, considere desativar a função Calculator até que um patch esteja disponível. Restrinja o acesso ao arquivo python/composio/tools/local/mathematical/actions/calculator.py para minimizar o risco de exploração.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2024-8864

GHSA-MRMH-3HQH-PFW7

Produtos afetados

Composio

Referências · 18

• 🔥 https://rumbling-slice-eb0.notion.site/Composio-s-Local-tools-Mathematical-has-a-code-injection-risk-in-composiohq-composio-ea0e89ee10fe4edfb9a8cfeed158c765?pvs=4 · Exploit
• https://github.com/ComposioHQ/composio · Nota
• https://github.com/ComposioHQ/composio/blob/v0.5.6/python/composio/tools/local/mathematical/actions/calculator.py#L29 · Nota
• https://twitter.com/CVEnew/status/1835145359728718046 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1835204135345357304 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-8864 · Nota de Segurança
• https://twitter.com/vuldb/status/1835163769129099353 · Publicação no Twitter
• https://twitter.com/oktsec/status/1834868243598544980 · Publicação no Twitter
• https://vuldb.com/?submit.403204 · Nota
• https://t.me/cvedetector/5677 · Publicação no Telegram
• https://vuldb.com/?ctiid.277501 · Nota
• https://t.me/cvenotify/94652 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-mrmh-3hqh-pfw7 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-8864 · Aviso do Fabricante
• https://vuldb.com/?id.277501 · Nota