Plataforma
vue
Componente
gin-vue-admin
Corrigido em
0.0.1
Uma vulnerabilidade de injeção de código foi descoberta no gin-vue-admin, um sistema de gerenciamento de backend baseado em Vue e Gin. Essa falha, presente em versões até 0.0.0-20240409100909-b1b7427c6ea6 (correspondente à versão 2.6.1), permite que um atacante execute comandos arbitrários no servidor. A exploração ocorre através da manipulação do parâmetro plugName na funcionalidade Plugin System -> Plugin Template, possibilitando a criação de diretórios e arquivos maliciosos.
A vulnerabilidade permite que um atacante realize um ataque de traversal de diretório, criando arquivos e diretórios arbitrários no sistema de arquivos do servidor. Isso pode levar à execução remota de código, comprometendo a confidencialidade, integridade e disponibilidade do sistema. Um atacante poderia, por exemplo, criar um arquivo main.go malicioso dentro de um diretório específico, que seria executado ao iniciar o sistema, permitindo o controle total do servidor. A capacidade de criar arquivos em locais arbitrários representa um risco significativo para a segurança da aplicação e do servidor subjacente.
A vulnerabilidade foi divulgada em 9 de abril de 2024. Não há informações disponíveis sobre a adição a KEV ou a existência de exploits públicos ativos no momento da redação. A descrição da vulnerabilidade sugere um potencial para exploração devido à facilidade de traversal de diretório e à capacidade de executar código arbitrário, mas a ausência de PoCs públicas limita o risco imediato.
Organizations using gin-vue-admin for their backend management systems are at risk, particularly those running older, unpatched versions. Shared hosting environments where multiple users have access to the plugin management features are especially vulnerable, as a compromised plugin could affect the entire hosting instance. Any deployment relying on the default plugin template functionality without proper input validation is also at increased risk.
• linux / server:
find /opt/gin-vue-admin/plugins/ -name '*api*.go' -o -name '*config*.go' -o -name '*global*.go' -o -name '*model*.go' -o -name '*router*.go' -o -name '*service*.go' -o -name '*main.go*' 2>/dev/null• generic web:
curl -I 'http://your-gin-vue-admin-instance/plugins/api/some..directory.go' # Check for 403 or other error indicating traversal is blockeddisclosure
patch
Status do Exploit
EPSS
0.33% (percentil 56%)
CISA SSVC
Vetor CVSS
A mitigação primária é atualizar o gin-vue-admin para a versão corrigida: 0.0.0-20240409100909-b1b7427c6ea6. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como restringir as permissões de escrita no diretório de plugins e monitorar o sistema de arquivos em busca de alterações suspeitas. Implementar regras de firewall (WAF) para bloquear requisições com parâmetros plugName maliciosos também pode ajudar a mitigar o risco. Após a atualização, confirme a correção verificando a integridade dos arquivos do sistema e realizando testes de penetração.
Actualice gin-vue-admin a la versión 0.0.0-20240409100909-b1b7427c6ea6 o posterior. Como alternativa, implemente manualmente el método de filtrado disponible en el GitHub Security Advisory para corregir el problema de directory traversal. Esto evitará la inyección de código arbitrario a través del parámetro `plugName`.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2024-31457 is a code injection vulnerability in gin-vue-admin, allowing attackers to perform directory traversal and potentially execute arbitrary code.
You are affected if you are using gin-vue-admin versions ≤ 0.0.0-20240409100909-b1b7427c6ea6.
Upgrade to version 0.0.0-20240409100909-b1b7427c6ea6 or later. Implement input validation and restrict access to the plugin management feature as temporary mitigations.
There is currently no confirmed active exploitation, but the vulnerability's nature makes it a potential target.
Refer to the gin-vue-admin project's repository or website for the official advisory and release notes.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.