Vulnerabilidades de injeção de código (CVSSv3 5.8) encontradas no Snyk CLI e nos plugins para IDE
Carm Janneteau
30 de novembro de 2022
0 minutos de leituraComo usuário do Snyk, queremos informar você sobre duas novas vulnerabilidades de gravidade média (CVSSv3 5.8) no nosso CLI e nos plugins para IDE.
Embora sejam difíceis de explorar, essas vulnerabilidades podem permitir a execução de código arbitrário no sistema host. Confira abaixo os detalhes sobre como mitigar esses riscos e se proteger.
CVE-2022-24441 – Injeção de código no Snyk CLI e nos plugins para IDE do Snyk
O Snyk CLI pode permitir a execução de código arbitrário ao analisar projetos não confiáveis. Isso acontece porque o Snyk CLI usa várias ferramentas de build para obter informações sobre o projeto para análise, e essas ferramentas podem executar código.
O risco é maior ao usar os plugins para IDE do Snyk, pois eles iniciam automaticamente o Snyk CLI para realizar análises quando um projeto é aberto, o que pode permitir a execução de código arbitrário simplesmente ao abrir uma pasta não confiável.
Para proteger você contra os riscos de executar projetos não confiáveis, o Snyk implementou uma mudança nos plugins para IDE. Agora, eles solicitam que o desenvolvedor confirme se o projeto é confiável antes de permitir a execução de qualquer análise de código.
Também atualizamos a documentação do Snyk CLI com recomendações de boas práticas para evitar a análise de código não confiável. Recomendamos que os usuários dos plugins para IDE atualizem para uma versão com o recurso de confirmação de confiança do projeto. Saiba mais no Snyk Support.
CVE-2022-22984 – Injeção de comandos no Snyk CLI
As versões do Snyk CLI anteriores à v1.1064.0 são vulneráveis à injeção de comandos arbitrários por meio dos sinalizadores da linha de comando, usados para construir argumentos para iniciar processos filhos.
Como o ataque é complexo e exige que o invasor já controle partes do comando do CLI, o risco não é alto. Ainda assim, os clientes do Snyk devem atualizar o mais rápido possível para proteger o uso programático do Snyk CLI contra abusos.
Como atualizar e se proteger
Você encontra mais informações, inclusive instruções para atualizar o CLI e os plugins para IDE, no Snyk Support.
Manteremos esta página atualizada com mais informações e respostas às perguntas frequentes que surgirem.
Mais informações
Você encontra mais detalhes sobre cada vulnerabilidade no nosso banco de dados público de vulnerabilidades:
Pesquisadores de vulnerabilidades da Imperva nos comunicaram essas vulnerabilidades em particular por meio do nosso processo de divulgação responsável.
Agradecemos à Imperva por encontrar e divulgar esta vulnerabilidade. O Snyk tem muito orgulho de estar entre os principais defensores dos programas de divulgação responsável e da tecnologia de código aberto. Um dos princípios fundamentais de uma postura de segurança robusta e moderna é incentivar testes externos de software, complementando os testes e as ferramentas internas. No Snyk, sabemos que qualquer software pode conter vulnerabilidades. Continuaremos tomando todas as medidas necessárias para garantir que nosso software seja rigorosamente testado e que a segurança dos nossos usuários seja prioridade.
Reforçamos que estas são vulnerabilidades de gravidade média, não alta ou crítica. Na maioria dos casos, a dificuldade de exploração reduz o impacto potencial. Ainda assim, é importante manter boas práticas de segurança, independentemente da gravidade. Recomendamos atualizar suas ferramentas regularmente para ajudar a manter tudo seguro.
Pedimos desculpas por qualquer inconveniente causado pela necessidade de atualizar o Snyk CLI e os plugins para IDE. Se tiver dúvidas, entre em contato pelo Snyk Support.
Comece a jogar Capture the Flag
Aprenda a resolver desafios de Capture the Flag assistindo à gravação sob demanda do nosso workshop virtual introdutório.
