Vulnerabilidad en el método "#apply" de image_processing (CVE-2022-24720)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

01/03/2022

Última modificación:

03/07/2023

Descripción

image_processing es una envoltura de procesamiento de imágenes para libvips e ImageMagick/GraphicsMagick. En versiones anteriores a 1.12.2, usar el método "#apply" de image_processing para aplicar una serie de operaciones que provienen de una entrada de usuario no saneada permite al atacante ejecutar comandos del shell. Este método es llamado internamente por las variantes de Active Storage, por lo que Active Storage también es vulnerable. La vulnerabilidad ha sido corregida en versión 1.12.2 de image_processing. Como medida de mitigación, los usuarios que procesan en base a la entrada del usuario deben siempre sanear la entrada del usuario permitiendo sólo un conjunto restringido de operaciones

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

9.80

Gravedad 3.x

CRÍTICA

Vector 2.0

AV:N/AC:L/Au:N/C:C/I:C/A:C CVSS v2.0 Severidad y Métricas:

Puntuación base: 10.00 ALTA
Vector: AV:N/AC:L/Au:N/C:C/I:C/A:C

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Completo
Impacto a la integridad (I): Completo
Impacto a la disponibilidad (A): Completo