Plateforme
java
Composant
org.openapitools:openapi-generator-online
Corrigé dans
5.1.1
5.1.0
La vulnérabilité CVE-2021-21428 est une faille d'escalade de privilèges critique affectant la bibliothèque openapi-generator-online. Elle permet à un attaquant local d'exploiter un défaut dans la gestion des répertoires temporaires pour exécuter du code arbitraire avec des privilèges accrus. Les versions concernées sont celles inférieures ou égales à 5.0.1. Une version corrigée, 5.1.0, est disponible.
Cette vulnérabilité exploite le fait que les systèmes Unix partagent un répertoire temporaire entre tous les utilisateurs. Un utilisateur malveillant peut observer la création d'un sous-répertoire temporaire et s'emparer de sa création. En écrivant du code malveillant dans ce répertoire temporaire, l'attaquant peut ensuite l'exécuter, obtenant ainsi un contrôle sur le système. L'impact est significatif car il permet une escalade de privilèges locale, permettant à un utilisateur non privilégié d'accéder à des ressources et d'effectuer des actions qu'il ne devrait pas pouvoir faire. Cette faille pourrait être exploitée pour voler des données sensibles, compromettre l'intégrité du système ou prendre le contrôle total de la machine.
Cette vulnérabilité a été rendue publique le 11 mai 2021. Bien qu'il n'y ait pas de preuve d'exploitation active à grande échelle, la sévérité critique de la vulnérabilité et la disponibilité d'un proof-of-concept potentiel en font une cible attrayante pour les attaquants. Il est conseillé de la traiter avec la plus haute priorité. La vulnérabilité n'est pas répertoriée sur le KEV à ce jour.
Systems running OpenAPI Generator Online version 5.0.1 or earlier are at risk. This includes development environments, CI/CD pipelines that utilize OpenAPI Generator Online, and shared hosting environments where multiple users share the same temporary directory. Organizations using OpenAPI Generator Online to automatically generate API client code are particularly vulnerable.
• linux / server:
find /tmp -type f -mmin -5 -print0 | xargs -0 ls -l | grep -i 'openapi-generator'• linux / server:
journalctl -f | grep "createTempFile"• linux / server:
lsof /tmp | grep openapi-generatordisclosure
Statut de l'Exploit
EPSS
0.05% (percentile 16%)
Vecteur CVSS
La mitigation principale consiste à mettre à jour openapi-generator-online vers la version 5.1.0 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, une solution temporaire consiste à restreindre les permissions sur le répertoire temporaire partagé pour empêcher les utilisateurs non autorisés d'y écrire. Il est également recommandé de surveiller les journaux système pour détecter toute activité suspecte liée à la création ou à la modification de fichiers dans le répertoire temporaire. En cas de suspicion d'exploitation, isolez immédiatement le système affecté et effectuez une analyse approfondie.
Mettez à jour la version de OpenAPI Generator à la 5.1.0 ou supérieure. Cette version corrige la création de fichiers temporaires dans des répertoires avec des permissions non sécurisées, évitant ainsi d'éventuelles vulnérabilités de sécurité.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2021-21428 is a critical vulnerability in OpenAPI Generator Online versions up to 5.0.1 that allows a local attacker to exploit a race condition during temporary file creation, leading to local privilege escalation.
If you are running OpenAPI Generator Online version 5.0.1 or earlier, you are affected by this vulnerability. Upgrade to version 5.1.0 or later to mitigate the risk.
The recommended fix is to upgrade to OpenAPI Generator Online version 5.1.0 or later. As a temporary workaround, restrict access to the temporary directory used by the application.
While no active exploitation campaigns have been definitively confirmed, the vulnerability's severity and ease of exploitation suggest a potential for future attacks.
Refer to the official OpenAPI Generator Online project repository and associated security advisories for detailed information and updates: [https://github.com/openapitools/openapi-generator-online](https://github.com/openapitools/openapi-generator-online)
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier pom.xml et nous te dirons instantanément si tu es affecté.