Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en el nombre de usuario para el protocolo LDAP en el framework JetBrains Ktor. (CVE-2019-12736)

Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-77 Neutralización incorrecta de elementos especiales usados en un comando (Inyección de comando)
Fecha de publicación:
02/10/2019
Última modificación:
24/08/2020

Descripción

El framework JetBrains Ktor versiones anteriores a 1.2.0-rc, no sanea el nombre de usuario provisto por el usuario para el protocolo LDAP, lo que conlleva a una inyección de comandos.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:jetbrains:ktor:*:*:*:*:*:*:*:* 1.1.5 (incluyendo)


Referencias a soluciones, herramientas e información