Vulnerabilidad en child_process.spawn / child_process.spawnSync (CVE-2024-27980)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-77
Neutralización incorrecta de elementos especiales usados en un comando (Inyección de comando)
Fecha de publicación:
09/01/2025
Última modificación:
09/01/2025
Descripción
Debido al gestión inadecuado de archivos por lotes en child_process.spawn / child_process.spawnSync, un argumento de línea de comandos malicioso puede inyectar comandos arbitrarios y lograr la ejecución de código incluso si la opción de shell no está habilitada.
Impacto
Puntuación base 3.x
8.10
Gravedad 3.x
ALTA
Referencias a soluciones, herramientas e información
- http://www.openwall.com/lists/oss-security/2024/04/10/15
- http://www.openwall.com/lists/oss-security/2024/07/11/6
- http://www.openwall.com/lists/oss-security/2024/07/19/3
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/5MZN6PFXHTCCUENAKZXTGWPKUAHI6E2W/
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/JUWBYDVCUSCX7YWTBX75LADMCVYFBGKU/