PT-2021-11539

CVE-2020-28472

·

Publicado

2021-01-19

·

Atualizado

2021-11-16

Descrição por

CVSS 2.0
7.5
Alta
MétricasAV:N/AC:L/Au:N/C:P/I:P/A:P
**Nome do software vulnerável e versões afetadas:
Versões do @aws-sdk/shared-ini-file-loader anteriores à 1.0.0-rc.9
Versões do aws-sdk anteriores à 2.814.0
Descrição:
O problema ocorre quando um invasor envia um arquivo INI malicioso para uma aplicação que o analisa com loadSharedConfigFiles. Isso pode levar à contaminação de protótipos no aplicativo, o que pode ser explorado posteriormente, dependendo do contexto.
Recomendações:
Para versões do @aws-sdk/shared-ini-file-loader anteriores à 1.0.0-rc.9, atualize para a versão 1.0.0-rc.9 ou posterior.
Para versões do aws-sdk anteriores à 2.814.0, atualize para a versão 2.814.0 ou posterior.
Como solução alternativa temporária, considere restringir o uso da função loadSharedConfigFiles até que um patch esteja disponível.
Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-1321: Improperly Controlled Modification of Object Prototype Attributes (\'Prototype Pollution\')
Identificadores relacionados
CVE-2020-28472
GHSA-RRC9-GQF8-8RWG
SNYK-JAVA-ORGWEBJARSBOWER-1059426
SNYK-JAVA-ORGWEBJARSNPM-1059425
SNYK-JS-AWSSDK-1059424
SNYK-JS-AWSSDKSHAREDINIFILELOADER-1049304
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com