Vulnerabilidades de inyección de código (CVSSv3 5.8) en Snyk CLI y los plugins para IDE

Como usuario de Snyk, queremos informarte sobre dos nuevas vulnerabilidades de gravedad media (CVSSv3 5.8) en nuestros plugins para CLI e IDE.

• CVE-2022-24441

• CVE-2022-22984

Aunque son difíciles de explotar, estas vulnerabilidades pueden permitir la ejecución de código arbitrario en el sistema host. A continuación, encontrarás detalles sobre cómo mitigar estos riesgos y mantenerte a salvo.

CVE-2022-24441: inyección de código en Snyk CLI y los plugins para IDE de Snyk

Snyk CLI puede permitir la ejecución de código arbitrario cuando se utiliza para analizar proyectos que no son de confianza. Esto se debe a que Snyk CLI emplea diversas herramientas de compilación para obtener información sobre el proyecto que se analizará, y estas herramientas pueden ejecutar código.

El riesgo aumenta al usar los plugins para IDE de Snyk, ya que estos invocan automáticamente Snyk CLI para realizar análisis cuando se abre un proyecto. Esto podría permitir la ejecución de código arbitrario con solo abrir una carpeta que no sea de confianza.

Para protegerte del riesgo de ejecutar proyectos que no son de confianza, Snyk implementó un cambio en los plugins para IDE de Snyk: ahora se solicitará confirmar que el proyecto es de confianza antes de permitir que el desarrollador realice análisis del código.

También actualizamos la documentación de Snyk CLI con recomendaciones de mejores prácticas para evitar analizar código que no sea de confianza. Recomendamos que quienes usan los plugins para IDE actualicen a una versión con la función de confianza del proyecto. Encontrarás más detalles en el portal de Snyk Support.

CVE-2022-22984: inyección de comandos en Snyk CLI

Las versiones de Snyk CLI anteriores a la v1.1064.0 son vulnerables a una inyección de comandos arbitraria en los indicadores de la línea de comandos que se usan para construir argumentos y ejecutar procesos secundarios.

Debido a la complejidad del ataque y a que requiere que el atacante ya tenga control sobre partes del comando de CLI, no se trata de un riesgo importante. Aun así, los clientes de Snyk deben actualizar cuanto antes para proteger contra el abuso el uso programático de Snyk CLI.

Cómo actualizar y mantenerte a salvo

Encontrarás más información, incluso cómo actualizar los plugins de CLI e IDE, en el portal de Snyk Support.

Seguiremos actualizando este artículo con más información y respuestas a las preguntas frecuentes que surjan.

Más información

Encontrarás más detalles sobre cada vulnerabilidad en nuestra base de datos pública de vulnerabilidades:

• https://security.snyk.io/vuln/SNYK-JS-SNYK-3111871

• https://security.snyk.io/vuln/SNYK-JS-SNYK-3038622

Investigadores de vulnerabilidades de Imperva nos informaron de estas vulnerabilidades de forma privada mediante nuestro proceso de divulgación responsable.

Agradecemos a Imperva por detectar esta vulnerabilidad e informarnos al respecto. En Snyk, nos enorgullece ser uno de los principales defensores de los programas de divulgación responsable y de la tecnología de código abierto. Uno de los principios fundamentales de una postura de seguridad moderna y sólida es fomentar las pruebas externas del software para complementar las pruebas y herramientas internas. En Snyk, sabemos que todo software puede contener vulnerabilidades. Seguiremos tomando todas las medidas necesarias para garantizar que nuestro software se pruebe rigurosamente y que la seguridad de nuestros usuarios sea una prioridad.

Es importante recalcar que estas vulnerabilidades son de gravedad media, no alta ni crítica. En la mayoría de los casos, el impacto potencial se ve mitigado por la dificultad para explotarlas. Sin embargo, es importante mantener buenas prácticas de seguridad sin importar la gravedad, por lo que recomendamos actualizar tus herramientas con regularidad para mantenerte protegido.

Lamentamos los inconvenientes que pueda causar la actualización de Snyk CLI y los plugins para IDE. Si tienes alguna pregunta, comunícate con nosotros a través del portal de Snyk Support.