PT-2022-20591

CVE-2022-31179

Publicado

2022-07-15

Atualizado

2022-08-09

Descrição por

CVSS 3.1

8.1

Alta

MétricasAV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:H

Nome do software vulnerável e versões afetadas

Versões do Shescape anteriores à 1.5.8

Descrição

A vulnerabilidade afeta usuários do Shescape que utilizam qualquer função da API para escapar argumentos do cmd.exe no Windows. Um invasor pode omitir todos os argumentos que se seguem à sua entrada incluindo um caractere de avanço de linha ( ) na carga maliciosa. Isso permite a injeção de código no Windows.

Recomendações

Para versões anteriores à 1.5.8, atualize para a versão 1.5.8 para resolver o problema. Não são necessárias outras alterações.

Como alternativa, os caracteres de avanço de linha ( ) podem ser removidos manualmente ou a entrada do usuário pode ser definida como o último argumento para limitar o impacto.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Ericcornelissen

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-74: Improper Neutralization of Special Elements in Output Used by a Downstream Component (\'Injection\')

Identificadores relacionados

CVE-2022-31179