PT-2022-16715 · Starwind · Starwind Stack+1
CVE-2022-24552
·
Publicado
2022-02-06
·
Atualizado
2023-08-08
CVSS v2.0
10
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
StarWind SAN e NAS versão 0.2 build 1633
Descrição
Foi encontrada uma falha na API REST do StarWind Stack, na qual o comando REST que manipula um disco virtual não verifica os parâmetros de entrada. Alguns desses parâmetros são executados diretamente como parte de um script bash, permitindo que um invasor com acesso de usuário não root injete dados arbitrários no comando, que será executado com privilégios de root.
Recomendações
Para o StarWind SAN e NAS versão 0.2 build 1633, considere restringir o acesso à API REST até que um patch esteja disponível. Como solução alternativa temporária, evite usar o comando REST que manipula discos virtuais para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Starwind San/Nas
Starwind Stack