Vulnerabilidad en el método de carga en la biblioteca codecov-node en codecov (paquete npm) (CVE-2020-15123)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-78 Neutralización incorrecta de elementos especiales usados en un comando de sistema operativo (Inyección de comando de sistema operativo)

Fecha de publicación:

20/07/2020

Última modificación:

27/07/2020

Descripción

En codecov (paquete npm) versiones anteriores a 3.7.1, el método de carga presenta una vulnerabilidad de inyección de comandos. Es poco probable que los clientes de la biblioteca codecov-node se den cuenta de esto, por lo que pueden escribir involuntariamente código que contiene una vulnerabilidad. Se emitió un CVE similar (CVE-2020-7597 para GHSA-5q88-cjfq-g2mh) pero la corrección fue incompleta. Solo bloqueó &amp;, y la inyección de comandos todavía es posible usando backticks (comilla izquierda) para omitir el saneamiento. La superficie de ataque es baja en este caso. Particularmente en el uso estándar de codecov, donde el módulo es usado directamente en una tubería de compilación, no como una biblioteca en otra aplicación que puede suministrar entradas maliciosas y llevar a cabo una inyección de comandos

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.30 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

9.30

Gravedad 3.x

CRÍTICA

Vector 2.0

AV:N/AC:M/Au:N/C:P/I:P/A:P CVSS v2.0 Severidad y Métricas:

Puntuación base: 6.80 MEDIA
Vector: AV:N/AC:M/Au:N/C:P/I:P/A:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Físico