Vulnerabilidad en matrix-appservice-irc (CVE-2023-38690)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-20 Validación incorrecta de entrada

Fecha de publicación:

04/08/2023

Última modificación:

11/08/2023

Descripción

matrix-appservice-irc es un puente IRC Node.js para Matrix. Antes de la versión 1.0.1, era posible crear un comando con nuevas líneas que no se analizaba correctamente. Esto significaba que podías pasar una cadena de comandos como nombre de canal, que luego sería ejecutado por el bot del puente IRC. Las versiones 1.0.1 y superiores están parcheadas. No hay soluciones robustas para el fallo. Uno puede desactivar los canales dinámicos en la configuración para desactivar el método de ejecución más común, pero pueden existir otros.<br />

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto