Vulnerabilidad en CycloneDX cdxgen (CVE-2024-50611)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-94 Control incorrecto de generación de código (Inyección de código)

Fecha de publicación:

27/10/2024

Última modificación:

30/10/2024

Descripción

Cuando se ejecuta CycloneDX cdxgen hasta la versión 10.10.7 contra una base de código no confiable, puede ejecutar código contenido en archivos relacionados con la compilación, como build.gradle.kts, un problema similar a CVE-2022-24441. Por ejemplo, OWASP dep-scan utiliza cdxgen. NOTA: esto se ha caracterizado como una limitación de diseño, en lugar de un error de implementación.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.20 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

7.20

Gravedad 3.x

ALTA

Vulnerabilidad en CycloneDX cdxgen (CVE-2024-50611)

Descripción

Impacto

Referencias a soluciones, herramientas e información