PT-2020-9137

CVE-2019-10786

Publicado

2020-02-04

Atualizado

2021-07-21

Descrição por

CVSS 3.1

9.8

Crítica

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do network-manager até a 1.0.2

Descrição

A vulnerabilidade permite que invasores remotos executem comandos arbitrários por meio do argumento execSync(). Isso possibilita que os invasores possam obter controle sobre o sistema, permitindo-lhes realizar ações maliciosas.

Recomendações

Para as versões do network-manager até a 1.0.2, como solução temporária, considere desativar o uso do argumento execSync() até que um patch esteja disponível. Restrinja o acesso ao network-manager para minimizar o risco de exploração.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Explorabilidade

Exploit

Impactos

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-20: Improper Input Validation

CWE-78: Improper Neutralization of Special Elements used in an OS Command (\'OS Command Injection\')

Identificadores relacionados

CVE-2019-10786

GHSA-PH32-23P8-9RW5