Vulnerabilidade de injeção de comandos na Snyk CLI lançada antes de 1º de setembro de 2022 (anterior à v1.996.0)

Como usuário da Snyk, queremos informar você sobre uma vulnerabilidade de média gravidade (CVSSv3 6.4) na nossa CLI à qual você deve ficar atento: CVE-2022-40764. Como a CLI é usada nas nossas integrações com CI e IDEs, elas também são afetadas. Embora seja difícil explorar essa vulnerabilidade, ela pode levar à execução arbitrária de código no sistema host.

Se você estiver usando uma versão da Snyk CLI lançada a partir de 1º de setembro (todas as versões a partir da 1.996.0, inclusive), a correção já está instalada. Mas, se estiver usando uma versão anterior, recomendamos atualizar.

As integrações com IDEs são mais fáceis de explorar devido ao comportamento de varredura automática do espaço de trabalho da IDE. Na maioria dos casos, o risco é reduzido porque, por padrão, o plugin da Snyk para IDE é configurado para atualizar a CLI para a versão mais recente toda semana. No entanto, se você desativou esse recurso, atualize a CLI para a versão mais recente ou reative as atualizações automáticas.

Você encontra mais informações, incluindo como identificar a versão lançada e atualizar a CLI, no portal do Snyk Support. Manteremos essa página atualizada com mais informações e respostas às perguntas frequentes que surgirem. Como sempre, quando o assunto é segurança, a Snyk tem o compromisso de agir com transparência para garantir a segurança dos nossos usuários.

Você encontra as vulnerabilidades individuais no nosso banco de dados público de vulnerabilidades:

• https://security.snyk.io/vuln/SNYK-JS-SNYKGOPLUGIN-3037316

• https://security.snyk.io/vuln/SNYK-JS-SNYK-3037342

Confira mais detalhes:

• Pesquisadores de vulnerabilidades da Imperva nos comunicaram esta vulnerabilidade em caráter privado por meio do nosso processo de divulgação responsável.

• A correção foi implementada e uma nova versão da Snyk CLI com essa correção foi lançada em 1º de setembro de 2022.

• A CVE foi divulgada publicamente em 29 de setembro de 2022.

Agradecemos à Imperva por encontrar e nos comunicar esta vulnerabilidade. A Snyk tem muito orgulho de estar entre as principais defensoras de programas de divulgação responsável e da tecnologia de código aberto. Um dos principais pilares de uma postura de segurança moderna e robusta é incentivar testes externos de software que complementem os testes e as ferramentas internas. Na Snyk, sabemos que qualquer software pode conter vulnerabilidades. Continuaremos tomando todas as medidas necessárias para testar nossos softwares e manter nossos usuários seguros.

Observação: esta é uma vulnerabilidade de média gravidade, não alta ou crítica. Na maioria dos casos, o impacto potencial é reduzido pela dificuldade de exploração. Ainda assim, preferimos agir com cautela e aproveitar para lembrar você de atualizar suas ferramentas sempre que possível, ajudando a manter a segurança. Pedimos desculpas por qualquer inconveniente causado pela necessidade de atualizar a Snyk CLI. Se tiver outras dúvidas, abra um chamado de suporte em support.snyk.io e ajudaremos você.