Plataforma
python
Componente
cbpi4
Corregido en
4.4.1.a1 (commit 57572c7)
4.4.1.a1
La vulnerabilidad CVE-2024-3955 es una falla de ejecución remota de código (RCE) que afecta a CraftBeerPi 4, versiones desde 4.0.0.58 (commit 563fae9) hasta 4.4.0. Esta vulnerabilidad reside en la función 'downloadlog' del archivo 'cbpi/httpendpoints/httpsystem.py', donde el parámetro 'logtime' de una solicitud GET no se valida antes de ser pasado a la función 'os.system' en 'cbpi/controller/system_controller.py'. La vulnerabilidad fue publicada el 2 de mayo de 2024 y se ha solucionado en la versión 4.4.1.a1.
Un atacante puede explotar esta vulnerabilidad enviando una solicitud HTTP especialmente diseñada al endpoint 'downloadlog' de CraftBeerPi. Al manipular el parámetro 'logtime', el atacante puede inyectar comandos arbitrarios que serán ejecutados por el sistema operativo subyacente con los privilegios del usuario que ejecuta CraftBeerPi. Esto podría resultar en la toma de control completa del sistema, robo de información sensible, instalación de malware o el uso del sistema como punto de apoyo para ataques a otros sistemas en la red. La severidad CRÍTICA de esta vulnerabilidad indica un alto riesgo de explotación y un impacto significativo en la confidencialidad, integridad y disponibilidad del sistema afectado.
Esta vulnerabilidad ha sido rápidamente reconocida como crítica debido a su facilidad de explotación y el potencial impacto. No se ha confirmado explotación activa en el mundo real a la fecha de esta evaluación, pero la disponibilidad de información sobre la vulnerabilidad aumenta el riesgo de explotación. La vulnerabilidad se encuentra en el catálogo KEV de CISA, lo que indica una alta probabilidad de explotación. Se recomienda monitorear activamente los sistemas CraftBeerPi para detectar cualquier actividad sospechosa.
Homebrewers and hobbyists using CraftBeerPi cbpi4 are at significant risk. Particularly vulnerable are those with exposed instances accessible from the internet or those using default configurations without proper network segmentation. Shared hosting environments running cbpi4 are also at increased risk.
• python / server:
journalctl -u craftbeeri -g 'downloadlog'• python / server:
ps aux | grep -i 'os.system(logtime' • generic web:
curl -I 'http://<target>/cbpi/http_endpoints/http_system.py?logtime=;id;'disclosure
Estado del Exploit
EPSS
0.46% (64% percentil)
Vector CVSS
La mitigación principal para CVE-2024-3955 es actualizar CraftBeerPi a la versión 4.4.1.a1 o superior. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales para reducir el riesgo de explotación. Estas medidas pueden incluir la restricción del acceso al endpoint 'downloadlog' a través de un firewall o proxy, la implementación de reglas de Web Application Firewall (WAF) para filtrar solicitudes maliciosas y la monitorización de los logs del sistema en busca de actividad sospechosa. Es crucial revisar la configuración de CraftBeerPi para asegurar que solo los usuarios autorizados tengan acceso a la interfaz de administración. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando que el parámetro 'logtime' se valida correctamente antes de ser utilizado en la función 'os.system'.
Actualice CraftBeerPi 4 a la versión 4.4.1.a1 o posterior. Esto corrige la vulnerabilidad de ejecución de código arbitrario causada por la falta de validación en el parámetro 'logtime' de la función 'downloadlog'. La actualización asegura que el parámetro se valide correctamente antes de pasarlo a la función 'os.system'.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-3955 is a critical Remote Code Execution vulnerability in CraftBeerPi cbpi4 versions up to 4.4.0. It allows attackers to execute arbitrary code via an unvalidated URL parameter.
You are affected if you are running CraftBeerPi cbpi4 version 4.4.0 or earlier. Version 4.4.1.a1 contains the fix.
Upgrade CraftBeerPi cbpi4 to version 4.4.1.a1 or later. Consider WAF rules as a temporary workaround if immediate upgrade is not possible.
While no active exploitation campaigns have been confirmed, the vulnerability's severity makes it a likely target for attackers.
Refer to the CraftBeerPi GitHub repository and release notes for the latest information and advisory regarding CVE-2024-3955.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo requirements.txt y te decimos al instante si estás afectado.