Vulnérabilités d’injection de code (CVSSv3 5.8) dans Snyk CLI et les plugins IDE
Carm Janneteau
30 novembre 2022
0 minutes de lectureEn tant qu’utilisateur de Snyk, nous souhaitons vous informer de deux nouvelles vulnérabilités de gravité moyenne (CVSSv3 5.8) dans nos plugins CLI et IDE.
Bien que difficiles à exploiter, ces vulnérabilités peuvent entraîner l’exécution de code arbitraire sur le système hôte. Vous trouverez ci-dessous des détails sur la manière d’atténuer ces risques et de vous protéger.
CVE-2022-24441 – Injection de code dans Snyk CLI et les plugins IDE de Snyk
Snyk CLI peut permettre l’exécution de code arbitraire lorsqu’il est utilisé pour analyser des projets non fiables. En effet, Snyk CLI s’appuie sur divers outils de build pour obtenir des informations sur le projet à analyser, et ces outils peuvent exécuter du code.
Le risque est accru avec les plugins IDE de Snyk, car ils lancent automatiquement Snyk CLI pour effectuer une analyse à l’ouverture d’un projet. L’ouverture d’un dossier non fiable peut donc suffire à permettre l’exécution de code arbitraire.
Pour vous protéger contre les risques liés à l’exécution de projets non fiables, Snyk a apporté une modification aux plugins IDE de Snyk : ils demandent désormais si le projet est fiable avant d’autoriser le développeur à analyser le code.
Nous avons également mis à jour la documentation de Snyk CLI avec des recommandations de bonnes pratiques pour éviter d’analyser du code non fiable. Nous recommandons aux utilisateurs des plugins IDE de passer à une version intégrant la fonctionnalité de validation de la confiance du projet. Pour en savoir plus, consultez le portail Snyk Support.
CVE-2022-22984 – Injection de commande dans Snyk CLI
Les versions de Snyk CLI antérieures à v1.1064.0 sont vulnérables à une injection de commande arbitraire dans les options de la ligne de commande utilisées pour construire les arguments servant à lancer des processus enfants.
Compte tenu de la complexité de l’attaque et du fait qu’elle nécessite de contrôler au préalable certaines parties de la commande CLI, le risque n’est pas majeur. Les clients Snyk doivent toutefois effectuer la mise à jour dès que possible afin de protéger contre les abus l’utilisation programmatique de Snyk CLI.
Mettre à niveau vos outils et rester en sécurité
Vous trouverez plus d’informations, notamment sur la mise à jour de vos plugins CLI et IDE, sur le portail Snyk Support.
Nous mettrons ces informations à jour et ajouterons les réponses aux questions fréquentes qui pourraient être posées.
Informations complémentaires
Vous trouverez plus de détails sur chacune de ces vulnérabilités dans notre base de données publique des vulnérabilités :
Ces vulnérabilités nous ont été signalées en privé dans le cadre de notre processus de divulgation responsable par des chercheurs en sécurité d’Imperva.
Nous remercions Imperva d’avoir découvert cette vulnérabilité et de nous l’avoir signalée. Snyk est très fière de compter parmi les principaux défenseurs des programmes de divulgation responsable et des technologies open source. Un des piliers d’une posture de sécurité moderne et robuste consiste à encourager les tests externes des logiciels, en complément des tests et des outils internes. Chez Snyk, nous savons que tout logiciel est susceptible de présenter des vulnérabilités. Nous continuerons à prendre toutes les mesures nécessaires pour soumettre nos logiciels à des tests rigoureux et faire de la sécurité de nos utilisateurs une priorité absolue.
Nous tenons à souligner qu’il s’agit de vulnérabilités de gravité moyenne, et non élevée ou critique. Dans la plupart des cas, la difficulté de l’exploitation en limite l’impact potentiel. Il reste toutefois important d’adopter de bonnes pratiques, quelle que soit la gravité. Nous vous recommandons de mettre régulièrement vos outils à jour pour renforcer votre sécurité.
Nous vous prions de nous excuser pour la gêne occasionnée par la mise à niveau de Snyk CLI et des plugins IDE. Pour toute question, veuillez contacter notre portail Snyk Support.
Lancez-vous dans les compétitions Capture The Flag
Apprenez à résoudre des défis Capture The Flag en regardant à la demande notre atelier virtuel d’initiation.
