CVE-2024-44623

SPX-GC 1.3.0v और इससे नीचे के संस्करणों में, उपयोगकर्ता-नियंत्रित इनपुट किसी भी स्वच्छता के बिना child_process मॉड्यूल के exec फ़ंक्शन में पारित किया गया था, जिससे अप्रमाणित ब्लाइंड रिमोट कोड निष्पादन हुआ।

कमजोरी

/routes/routes-api.js में, फ़ाइल पैरामीटर से प्राप्त उपयोगकर्ता इनपुट को child_process के exec फ़ंक्शन में पारित करने से अप्रमाणित ब्लाइंड RCE होता है

ब्लाइंड RCE

वेब अनुप्रयोगों में ब्लाइंड रिमोट कोड निष्पादन (RCE) तब होता है जब कोई हमलावर तत्काल प्रतिक्रिया या परिणामों के प्रत्यक्ष ज्ञान के बिना सर्वर पर मनमाना कोड निष्पादित कर सकता है। यह कमजोरी अक्सर अनुचित उपयोगकर्ता इनपुट हैंडलिंग से उत्पन्न होती है और कमांड निष्पादन जैसे तंत्रों के माध्यम से इसका शोषण किया जा सकता है। संदर्भ:

• OWASP Foundation का OWASP Cheat Sheet Series: Command Injection
• CWE-94: कोड के निर्माण का अनुचित नियंत्रण ('कोड इंजेक्शन')

प्रभावित उत्पाद

SPX-GC <= 1.3.0v

फिक्स्ड संस्करण

31c96893a193428a3a11499ed0e165125f9bbe23 कमिट में फिक्स किया गया, परिवर्तनों को मास्टर ब्रांच में जोड़ा गया था, इसलिए उस ब्रांच से नया बिल्ड और इंस्टॉलेशन असुरक्षित नहीं है। फिक्स को अभी तक GitHub पर एक रिलीज़ के रूप में प्रकाशित नहीं किया गया है।

CVE ID

CVE-2024-44623

कमजोरी का प्रकार

ब्लाइंड रिमोट कोड निष्पादन

मूल कारण

routes/routes-api.js फ़ाइल में require('child_process').exec('open "' + folder + '"'); फ़ंक्शन पर उपयोगकर्ता इनपुट का उपयोग

प्रभाव

उन उदाहरणों में जहां असुरक्षित SPX-GC टूल चल रहा है, एक अप्रमाणित उपयोगकर्ता शेल कमांड निष्पादित कर सकता है।

CVSS

9.8

संदर्भ

असुरक्षित कोड: routes/routes-api.js#L37-L39

फिक्स कमिट: 31c96893a193428a3a11499ed0e165125f9bbe23