असुरक्षित अनुमतियों वाले निर्देशिका में अस्थायी फ़ाइल का निर्माण OpenAPI-Generator ऑनलाइन जनरेटर में

यह भेद्यता एक हमलावर को अस्थायी फ़ाइलों को नियंत्रित करने की अनुमति देती है, जो तब दुर्भावनापूर्ण कोड निष्पादित करने के लिए उपयोग किया जा सकता है। चूंकि यूनिक्स जैसे सिस्टम पर अस्थायी निर्देशिका सभी उपयोगकर्ताओं द्वारा साझा की जाती है, इसलिए एक सह-स्थित उपयोगकर्ता अस्थायी सबडायरेक्टरी बनाने की प्रक्रिया का निरीक्षण करने और अस्थायी सबडायरेक्टरी के निर्माण को पूरा करने के लिए दौड़ सकता है। यह हमलावर को कोड लिखने की अनुमति देता है जिसे बाद में निष्पादित किया जा सकता है, जिससे विशेषाधिकारों में वृद्धि हो सकती है। इस भेद्यता का शोषण करने के लिए, हमलावर को पहले लक्षित सिस्टम तक पहुंच प्राप्त करने की आवश्यकता होगी। फिर, वे अस्थायी फ़ाइलों को नियंत्रित करने के लिए भेद्यता का फायदा उठा सकते हैं और दुर्भावनापूर्ण कोड निष्पादित कर सकते हैं।

Systems running OpenAPI Generator Online version 5.0.1 or earlier are at risk. This includes development environments, CI/CD pipelines that utilize OpenAPI Generator Online, and shared hosting environments where multiple users share the same temporary directory. Organizations using OpenAPI Generator Online to automatically generate API client code are particularly vulnerable.

• linux / server:

find /tmp -type f -mmin -5 -print0 | xargs -0 ls -l | grep -i 'openapi-generator'

• linux / server:

journalctl -f | grep "createTempFile"

• linux / server:

lsof /tmp | grep openapi-generator

1. 2021-05-11Disclosure

   disclosure

1. आरक्षित2020-12-22
2. प्रकाशित2021-05-11
3. संशोधित2026-03-13
4. EPSS अद्यतन2026-04-02

CVE-2021-21428 को कम करने के लिए, org.openapitools:openapi-generator-online को संस्करण 5.1.0 या बाद के संस्करण में अपग्रेड करना आवश्यक है। यदि अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, अस्थायी फ़ाइलों के लिए उपयोग किए जाने वाले निर्देशिका की अनुमतियों को सीमित करने पर विचार करें। इसके अतिरिक्त, एक वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके अस्थायी फ़ाइलों तक पहुंच को सीमित किया जा सकता है। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, अस्थायी फ़ाइलें बनाने और निष्पादित करने का प्रयास करके।