PT-2024-6367 · Microsoft · Sharepoint Server
CVE-2024-45851
·
Publicado
2024-09-10
·
Atualizado
2024-09-16
CVSS v2.0
9.0
Alta
| Vetor | AV:N/AC:L/Au:S/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Versões do MindsDB 23.10.5.0 a 24.7.4.1
Descrição
Existe uma vulnerabilidade de execução de código arbitrário quando a integração com o Microsoft SharePoint está instalada no servidor. Para bancos de dados criados com o mecanismo do SharePoint, uma consulta ‘INSERT’ especialmente criada pode ser usada para executar código Python no servidor. Isso ocorre porque o código é passado para uma função eval. A vulnerabilidade está relacionada ao gerenciamento incorreto da geração de código na função eval da plataforma MindsDB.
Recomendações
Para as versões 23.10.5.0 a 24.7.4.1, considere desativar a integração com o Microsoft SharePoint até que um patch esteja disponível para impedir a exploração. Como solução alternativa temporária, restrinja o uso de consultas ‘INSERT’ em bancos de dados criados com o mecanismo do SharePoint para minimizar o risco de execução de código arbitrário. Evite usar consultas especialmente criadas que possam conter código Python. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.
Exploit
Correção
Eval Injection
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Sharepoint Server