CVE-2020-13802

Rebar3 – command injection przez parametr URL zależności

CVSS 9.8v3.1pub. 2020-09-02upd. 2024-11-21

Narzędzie do budowania projektów Erlang – Rebar3 – w wersjach od 3.0.0-beta.3 do 3.13.2 zawiera krytyczną podatność typu command injection. Atakujący może wykonać dowolne polecenia systemowe bez żadnego uwierzytelnienia, co stanowi poważne zagrożenie dla środowisk CI/CD i deweloperskich.

▸ Pokaż oryginał (EN)

Rebar3 versions 3.0.0-beta.3 to 3.13.2 are vulnerable to OS command injection via URL parameter of dependency specification.

🤖 Analiza AI

Jak działa

Podatność (CWE-78) wynika z braku odpowiedniej walidacji i sanityzacji parametru URL używanego przy specyfikacji zależności projektu. Rebar3 przetwarza adresy URL pobierane np. z pliku konfiguracyjnego rebar.config i przekazuje je do wywołań systemowych bez należytego oczyszczenia danych wejściowych. Spreparowany URL zawierający złośliwy payload może spowodować wykonanie przez system operacyjny dowolnych poleceń z uprawnieniami procesu Rebar3.

Skutki

Atakujący może zdalnie wykonać dowolne polecenia systemowe (RCE), co może prowadzić do pełnego przejęcia kontroli nad maszyną, kradzieży kodu źródłowego, danych uwierzytelniających oraz dalszego lateral movement w sieci.

Mitygacja

Należy zaktualizować Rebar3 do wersji wyższej niż 3.13.2. Szczegółowe informacje dotyczące patcha dostępne są w referencjach producenta oraz w poradniku bezpieczeństwa opublikowanym na vuln.be. Dodatkowo należy unikać używania niezaufanych plików konfiguracyjnych rebar.config pochodzących z zewnętrznych źródeł.

Kogo dotyczy

Erlang Rebar3 w wersjach od 3.0.0-beta.3 do 3.13.2 (włącznie).

Uwagi

Publicznie dostępny jest kod proof-of-concept (PoC) pod adresem https://github.com/vulnbe/poc-rebar3.git oraz szczegółowy opis techniczny na vuln.be i PacketStorm Security.