PT-2020-19768

CVE-2020-7752

Publicado

2020-10-26

Atualizado

2021-07-21

Descrição por

CVSS 3.1

8.8

Alta

MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do systeminformation anteriores à 4.27.11

Descrição

Este problema afeta o pacote systeminformation, permitindo que um invasor realize injeção de comando. O invasor pode concatenar parâmetros do curl para sobrescrever arquivos JavaScript e, em seguida, executar quaisquer comandos do sistema operacional.

Recomendações

Para versões anteriores à 4.27.11, atualize para a versão 4.27.11 ou posterior para resolver o problema.

Como solução alternativa temporária para versões que não podem ser atualizadas, verifique ou sanitize as cadeias de caracteres dos parâmetros de serviço que são passadas para si.inetChecksite().

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-78: Improper Neutralization of Special Elements used in an OS Command (\'OS Command Injection\')

Identificadores relacionados

CVE-2020-7752

GHSA-94XH-2FMC-XF5J