Vulnerabilidad en las cargas útiles JSON en Arvados (CVE-2022-36006)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-502 Deserialización de datos no confiables

Fecha de publicación:

15/08/2022

Última modificación:

29/06/2023

Descripción

Arvados es una plataforma de código abierto para administrar, procesar y compartir datos genómicos y otros grandes datos científicos y biomédicos. Una vulnerabilidad de ejecución de código remota (RCE) en Arvados Workbench permite a atacantes autenticados ejecutar código arbitrario por medio de cargas útiles JSON especialmente diseñadas. Esto se presenta en todas las versiones hasta 2.4.1 y ha sido corregido en versión 2.4.2. Esta vulnerabilidad es específica de la aplicación Ruby on Rails Workbench ("Workbench 1"). No creemos que ningún otro componente de Arvados, incluyendo la aplicación TypesScript basada en el navegador Workbench ("Workbench 2") o el Servidor API, sean vulnerables a este ataque. Para versiones de Arvados anteriores a 2.4.2: elimine la aplicación "Workbench 1" basada en Ruby ("apt-get remove arvados-workbench") de su instalación como mitigación.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto