Vulnerabilidades de injeção de código (CVSSv3 5.8) encontradas no Snyk CLI e nos plugins para IDE

Escrito por

Carm Janneteau

29 de novembro de 2022

0 minutos de leitura

Como usuário do Snyk, queremos informar você sobre duas novas vulnerabilidades de gravidade média (CVSSv3 5.8) no nosso CLI e nos plugins para IDE.

Embora sejam difíceis de explorar, essas vulnerabilidades podem permitir a execução de código arbitrário no sistema host. Confira abaixo os detalhes sobre como mitigar esses riscos e se proteger.

CVE-2022-24441 – Injeção de código no Snyk CLI e nos plugins para IDE do Snyk

O Snyk CLI pode permitir a execução de código arbitrário ao analisar projetos não confiáveis. Isso acontece porque o Snyk CLI usa várias ferramentas de build para obter informações sobre o projeto para análise, e essas ferramentas podem executar código.

O risco é maior ao usar os plugins para IDE do Snyk, pois eles iniciam automaticamente o Snyk CLI para realizar análises quando um projeto é aberto, o que pode permitir a execução de código arbitrário simplesmente ao abrir uma pasta não confiável.

Para proteger você contra os riscos de executar projetos não confiáveis, o Snyk implementou uma mudança nos plugins para IDE. Agora, eles solicitam que o desenvolvedor confirme se o projeto é confiável antes de permitir a execução de qualquer análise de código.

Também atualizamos a documentação do Snyk CLI com recomendações de boas práticas para evitar a análise de código não confiável. Recomendamos que os usuários dos plugins para IDE atualizem para uma versão com o recurso de confirmação de confiança do projeto. Saiba mais no Snyk Support.

CVE-2022-22984 – Injeção de comandos no Snyk CLI

As versões do Snyk CLI anteriores à v1.1064.0 são vulneráveis à injeção de comandos arbitrários por meio dos sinalizadores da linha de comando, usados para construir argumentos para iniciar processos filhos.

Como o ataque é complexo e exige que o invasor já controle partes do comando do CLI, o risco não é alto. Ainda assim, os clientes do Snyk devem atualizar o mais rápido possível para proteger o uso programático do Snyk CLI contra abusos.

Como atualizar e se proteger

Você encontra mais informações, inclusive instruções para atualizar o CLI e os plugins para IDE, no Snyk Support.

Manteremos esta página atualizada com mais informações e respostas às perguntas frequentes que surgirem.

Mais informações

Você encontra mais detalhes sobre cada vulnerabilidade no nosso banco de dados público de vulnerabilidades:

Pesquisadores de vulnerabilidades da Imperva nos comunicaram essas vulnerabilidades em particular por meio do nosso processo de divulgação responsável.

Agradecemos à Imperva por encontrar e divulgar esta vulnerabilidade. O Snyk tem muito orgulho de estar entre os principais defensores dos programas de divulgação responsável e da tecnologia de código aberto. Um dos princípios fundamentais de uma postura de segurança robusta e moderna é incentivar testes externos de software, complementando os testes e as ferramentas internas. No Snyk, sabemos que qualquer software pode conter vulnerabilidades. Continuaremos tomando todas as medidas necessárias para garantir que nosso software seja rigorosamente testado e que a segurança dos nossos usuários seja prioridade.

Reforçamos que estas são vulnerabilidades de gravidade média, não alta ou crítica. Na maioria dos casos, a dificuldade de exploração reduz o impacto potencial. Ainda assim, é importante manter boas práticas de segurança, independentemente da gravidade. Recomendamos atualizar suas ferramentas regularmente para ajudar a manter tudo seguro.

Pedimos desculpas por qualquer inconveniente causado pela necessidade de atualizar o Snyk CLI e os plugins para IDE. Se tiver dúvidas, entre em contato pelo Snyk Support.