CVE-2021-24105

Wysokie

Opublikowano: 25/02/2021(UTC)Przetłumaczono: 31/05/2026(UTC)NVD NIST

Streszczenie

Podatność CVE-2021-24105 pozwala atakującemu na wprowadzenie złośliwego pakietu do repozytoriów menedżerów pakietów, co może prowadzić do zdalnego wykonania kodu. Dotyczy to wielu menedżerów pakietów w różnych językach programowania, takich jak Python/pip, .NET/NuGet, Java/Maven oraz JavaScript/npm.

Ocena ryzyka

Wprowadzenie złośliwego pakietu może prowadzić do poważnych konsekwencji, w tym do przejęcia kontroli nad systemami organizacji. Atakujący może wykorzystać tę podatność do szkodliwych działań w różnych scenariuszach.

Rekomendacja

Zaleca się audyt repozytoriów menedżerów pakietów oraz wdrożenie mechanizmów weryfikacji pakietów przed ich użyciem. Należy również monitorować i aktualizować konfiguracje menedżerów pakietów, aby zminimalizować ryzyko wprowadzenia złośliwego oprogramowania.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

Depending on configuration of various package managers it is possible for an attacker to insert a malicious package into a package manager's repository which can be retrieved and used during development, build, and release processes. This insertion could lead to remote code execution. We believe this vulnerability affects multiple package managers across multiple languages, including but not limited to: Python/pip, .NET/NuGet, Java/Maven, JavaScript/npm. Attack scenarios An attacker could take advantage of this ecosystem-wide issue to cause harm in a variety of ways. The original attack scenarios were discovered by Alex Birsan and are detailed in their whitepaper, <a href="https://medium.com/@alex.birsan/dependency-confusion-4a5d60fec610">Dependency Confusion: How I Hacked Into Apple, Microsoft and Dozens of Other Companies</a>. <ul> <li>With basic knowledge of the target ecosystems, an attacker could create an empty shell for a package and inse

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS