Vulnerabilidad en ActiveSupport::EncryptedFile (CVE-2023-38037)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

09/01/2025

Última modificación:

15/02/2025

Descripción

ActiveSupport::EncryptedFile escribe el contenido que se cifrará en un archivo temporal. Los permisos del archivo temporal se establecen de forma predeterminada en la configuración actual de `umask` del usuario, lo que significa que otros usuarios del mismo sistema pueden leer el contenido del archivo temporal. Los atacantes que tengan acceso al sistema de archivos podrían leer el contenido de este archivo temporal mientras un usuario lo está editando. Todos los usuarios que ejecuten una versión afectada deberían actualizar o utilizar un workarounds de inmediato.

Impacto

Vector 3.x

CVSS:3.0/AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:L/A:L CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.50 MEDIA
Vector: CVSS:3.0/AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:L/A:L

Vector de acceso (AV): Local
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Bajo

Puntuación base 3.x

5.50

Gravedad 3.x

MEDIA

Vulnerabilidad en ActiveSupport::EncryptedFile (CVE-2023-38037)

Descripción

Impacto

Referencias a soluciones, herramientas e información