Krytyczna luka OS command injection w Serverless-Devs @serverless-devs/s <= 3.1.11

Co wiadomo

Polecenie "s init" w Serverless-Devs @serverless-devs/s do wersji 3.1.11 przekazuje niesanitizowane dane użytkownika do child_process.spawn() z shell: true. Specyficzny URL kończący się na ".git" omija zabezpieczenia, umożliwiając wykonanie złośliwych poleceń systemowych.

Wpływ biznesowy

Ta luka pozwala atakującemu na wykonanie dowolnych poleceń systemowych z uprawnieniami użytkownika uruchamiającego "s init". Może to prowadzić do przejęcia kontroli nad systemem, wycieku danych lub dalszej eskalacji ataku. Organizacje korzystające z podatnej wersji powinny traktować tę lukę jako krytyczną i priorytetowo ją adresować.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji lub poprawek od dostawcy Serverless-Devs. W międzyczasie ogranicz dostęp do narzędzia oraz monitoruj logi pod kątem podejrzanych wywołań "s init" z nietypowymi argumentami. Rozważ ograniczenie uruchamiania polecenia do zaufanych użytkowników i środowisk. DataHouse może pomóc w weryfikacji wersji, zarządzaniu łatami oraz monitoringu anomalii w środowisku.

Źródła

• NVD
• Reference