PT-2024-29581

CVE-2024-41815

Publicado

2024-07-26

Atualizado

2024-10-08

Descrição por

CVSS 3.1

7.4

Alta

MétricasAV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Starship de 1.0.0 a 1.19.x

Descrição

O Starship é um prompt multisshell que possui regras de expansão e/ou citação de shell não documentadas e imprevisíveis, facilitando a ocorrência acidental de injeção de shell ao usar comandos personalizados com o Starship no bash. Esse problema afeta apenas usuários com comandos personalizados, portanto, o escopo é limitado e, sem conhecimento dos comandos de outras pessoas, pode ser difícil atingir alguém com sucesso.

Recomendações

Para versões anteriores à 1.20.0, atualize para a versão 1.20.0 para corrigir a vulnerabilidade.

Como solução alternativa temporária, considere evitar o uso de comandos personalizados que exibam informações de fontes potencialmente não confiáveis ou não verificadas até que um patch esteja disponível.

Restrinja o acesso a comandos personalizados para minimizar o risco de exploração.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-78: Improper Neutralization of Special Elements used in an OS Command (\'OS Command Injection\')

CWE-77: Improper Neutralization of Special Elements used in a Command (\'Command Injection\')

Identificadores relacionados