CVE-2023-39523 in ScanCode.io
Riassunto
di VulDB • 19/06/2026
ScanCode.io è un server per scriptare e automatizzare l'analisi della composizione del software tramite pipeline ScanPipe. Prima della versione 32.5.1, il software presenta una possibile vulnerabilità di iniezione di comandi nel processo di fetch docker, poiché consente di aggiungere comali malevoli al parametro `docker_reference`.
Nella funzione `scanpipe/pipes/fetch.py:fetch_docker_image`, il parametro `docker_reference` è controllabile dall'utente. La variabile `docker_reference` viene quindi passata alla funzione vulnerabile `get_docker_image_platform`. Tuttavia, la funzione `get_docker_image_plaform` costruisce un comando shell utilizzando il `docker_reference` passato. Successivamente, `pipes.run_command` esegue tale comando shell senza alcuna preventiva sanificazione, rendendo la funzione vulnerabile alle iniezioni di comandi. Un utente malintenzionato in grado di creare o aggiungere input a un progetto può iniettare comandi. Sebbene le iniezioni di comandi siano cieche e l'utente non riceva feedback diretto senza i log, è comunque possibile causare danni al server/container. La vulnerabilità si manifesta ad esempio se un utente malintenzionato aggiunge un punto e virgola dopo l'input `docker://;`, consentendo così l'accodamento di comali malevoli.
La versione 32.5.1 contiene una patch per questo problema. L'input `docker_reference` dovrebbe essere sanificato per evitare iniezioni di comandi e, come soluzione alternativa (workaround), si può evitare la creazione di comandi con input controllati dall'utente direttamente.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.