CVE-2024-32487

Nome do software vulnerável e versões afetadas:

versões do less até a 653

Descrição:

O problema está relacionado ao tratamento incorreto de aspas no arquivo filename.c, o que pode permitir que um invasor execute comandos arbitrários. Isso normalmente requer o uso de nomes de arquivos controlados pelo invasor, como aqueles extraídos de um arquivo compactado não confiável, e a variável de ambiente LESSOPEN, que em muitos casos está definida por padrão.

Recomendações:

Para versões até a 653, considere desativar a variável de ambiente LESSOPEN como uma solução temporária até que um patch esteja disponível. Restrinja o acesso a arquivos com nomes potencialmente maliciosos para minimizar o risco de exploração. Evite usar o less com arquivos ou arquivos não confiáveis até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.