CVE-2021-42561

CALDERA versão 2.8.1

Foi descoberta uma vulnerabilidade no CALDERA. Quando ativado, o plugin Human passa o parâmetro name não sanitizado para a função os.system do Python. Isso permite que invasores utilizem metacaracteres do shell (por exemplo, crases ou parênteses com o símbolo do dólar) para escapar do comando atual e executar comandos arbitrários do shell.

Para a versão 2.8.1 do CALDERA, considere desativar o plugin Human até que um patch esteja disponível para impedir a execução de comandos de shell arbitrários. Restrinja o acesso à função os.system para minimizar o risco de exploração. Evite usar o parâmetro name no plugin afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.