CVE-2024-0195 Contrôle inapproprié de la génération de code ('Injection de code')

Résumé

CVE-2024-0195 est une vulnérabilité critique d'injection de code dans l'application web spider-flow 0.4.3, plus précisément dans la fonction FunctionService.saveFunction du fichier FunctionController.java. Un attaquant peut injecter à distance du code malveillant qui s'exécute sur le serveur. Cela permet une compromission complète de l'application.

Impact

Cette vulnérabilité est extrêmement grave car elle permet l'exécution de code à distance sur le serveur hébergeant l'application spider-flow vulnérable. Un attaquant pourrait compromettre entièrement le serveur, voler des données sensibles, installer des malwares ou des mineurs de crypto-monnaies, et l'utiliser pour d'autres attaques au sein du réseau. La confidentialité, l'intégrité et la disponibilité de l'application et du serveur sont toutes gravement impactées.

Correctif

Aucune version corrigée n'est explicitement mentionnée, donc le correctif ne semble actuellement pas être une option. La vulnérabilité a été divulguée publiquement et des exploits sont disponibles, une atténuation immédiate est donc cruciale.

Atténuation

Jusqu'à ce qu'un correctif officiel soit publié, spider-flow 0.4.3 doit être immédiatement mis hors ligne ou son accès limité aux réseaux/utilisateurs de confiance. Des pare-feu applicatifs Web ou d'autres contrôles de validation des entrées pourraient potentiellement être configurés pour détecter et bloquer les tentatives d'injection de code en guise d'atténuation provisoire. Cependant, ce ne sont pas des solutions complètes et la version vulnérable doit être mise à niveau dès qu'une version corrigée est disponible.