NYUCCL psiTurk حتى 3.2.0 psiturk/experiment.py mode تجاوز الصلاحيات
| CVSS الدرجة المؤقتة للميتا | سعر الإكسبلويت الحالي (≈) | درجة اهتمام CTI |
|---|---|---|
| 6.4 | $0-$5k | 0.74 |
الملخص
تم أيجاد ثغرة أمنية بصنف خطيرة. في NYUCCL psiTurk حتى 3.2.0. تتأثر الوظيفة $software_function من الملف psiturk/experiment.py. عند التلاعب بالوسيط mode ينتج ضعف غير محدد.
يتم تداول هذه الثغرة تحت اسم CVE-2021-4315. علاوة على ذلك، يوجد استغلال متاح.
من المستحسن ترقية المكون المتضرر.
التفاصيل
تم أيجاد ثغرة أمنية بصنف خطيرة. في NYUCCL psiTurk حتى 3.2.0. تتأثر الوظيفة $software_function من الملف psiturk/experiment.py. عند التلاعب بالوسيط mode ينتج ضعف غير محدد. عبر استخدام CWE في وصف المشكلة، سيتم الإشارة إلى CWE-1336. المشكلة تم نشرها بتاريخ 27/01/2023 كـ 517. الاستشارة متوفرة هنا github.com.
يتم تداول هذه الثغرة تحت اسم CVE-2021-4315. التفاصيل التقنية متوفرة. شعبية هذه الثغرة أقل من المتوسط. علاوة على ذلك، يوجد استغلال متاح. تم الإعلان عن الثغرة للعامة ومن الممكن استغلالها. يحدد مشروع MITRE ATT&CK تقنية الهجوم على أنها T1221.
إذا كان هناك قيمة لـ إثبات المفهوم، فسيتم التصريح بأنه إثبات المفهوم. الاستغلال متاح للتنزيل عبر github.com. باعتباره ثغرة يوم الصفر، كان السعر التقديري في السوق السوداء حوالي $0-$5k.
الترقية إلى الإصدار 3.2.1 قادرة على حل هذه المشكلة. الإصدار المحدث جاهز للتنزيل على github.com. أسم الباتش التصحيحي هو47787e15cecd66f2aa87687bf852ae0194a4335f. يمكنك تنزيل التصحيح من github.com. من المستحسن ترقية المكون المتضرر. ورد في التنبيه الملاحظة التالية:
Fixed an issue where users could pass arbitrary Python code to be executed on the server to the mode HTTP arg
منتج
المجهز
الأسم
النسخة
الرخصة
موقع إلكتروني
CPE 2.3
CPE 2.2
CVSSv4
VulDB متجه: 🔍VulDB الاعتمادية: 🔍
CVSSv3
VulDB الدرجة الأساسية للميتا: 6.6VulDB الدرجة المؤقتة للميتا: 6.4
VulDB الدرجة الأساسية: 5.5
VulDB الدرجة المؤقتة: 5.0
VulDB متجه: 🔍
VulDB الاعتمادية: 🔍
NVD الدرجة الأساسية: 8.8
NVD متجه: 🔍
CNA الدرجة الأساسية: 5.5
CNA متجه (VulDB): 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| متجه | التعقيد | توثيق | السرية | الأمانة | التوفر |
|---|---|---|---|---|---|
| افتح | افتح | افتح | افتح | افتح | افتح |
| افتح | افتح | افتح | افتح | افتح | افتح |
| افتح | افتح | افتح | افتح | افتح | افتح |
VulDB الدرجة الأساسية: 🔍
VulDB الدرجة المؤقتة: 🔍
VulDB الاعتمادية: 🔍
NVD الدرجة الأساسية: 🔍
استغلال
الفئة: تجاوز الصلاحياتCWE: CWE-1336 / CWE-791 / CWE-790
CAPEC: 🔍
ATT&CK: 🔍
ملموس: لا
محلي: لا
عن بُعد: نعم
التوفر: 🔍
وصول: عام
الحالة: إثبات المفهوم
تحميل: 🔍
EPSS Score: 🔍
EPSS Percentile: 🔍
تقدير السعر: 🔍
تقدير السعر الحالي: 🔍
| 0-Day | افتح | افتح | افتح | افتح |
|---|---|---|---|---|
| اليوم | افتح | افتح | افتح | افتح |
استخبارات التهديد
الاهتمام: 🔍الفاعلون النشطون: 🔍
مجموعات APT النشطة: 🔍
إجراءات مضادة
التوصية: ترقيةالحالة: 🔍
زمن الهجوم الفوري: 🔍
ترقية: psiTurk 3.2.1
تصحيح: 47787e15cecd66f2aa87687bf852ae0194a4335f
الجدول الزمني
27/01/2023 🔍27/01/2023 🔍
27/01/2023 🔍
23/02/2023 🔍
المصادر
منتج: github.comاستشارة: 517
الحالة: مؤكد
CVE: CVE-2021-4315 (🔍)
GCVE (CVE): GCVE-0-2021-4315
GCVE (VulDB): GCVE-100-219676
scip Labs: https://www.scip.ch/en/?labs.20161013
إدخال
تم الإنشاء: 27/01/2023 11:47 PMتم التحديث: 23/02/2023 06:25 PM
التغييرات: 27/01/2023 11:47 PM (48), 23/02/2023 06:18 PM (2), 23/02/2023 06:25 PM (28)
كامل: 🔍
Cache ID: 216::103
Once again VulDB remains the best source for vulnerability data.
لا توجد تعليقات بعد اللغات: ar + fa + en.
يرجى تسجيل الدخول حتى تتمكن من التعليق