BDU:2024-00949

Опубликовано: 02 фев. 2024

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Средний

Описание

Уязвимость компонента Setting Handler программного обеспечения для создания, тестирования, документирования, публикации и обслуживания программного интерфейса приложения (API) Postman связана с копированием буфера без проверки размера входных данных при обработке PDF-файлов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код через настройки RunAsNode и EnableNodeClilnspectArguments

Вендор

Postman, Inc.

Наименование ПО

Postman

Версия ПО

до 10.22 (Postman)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Apple Inc. MacOS -

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- минимизация пользовательских привилегий;

- использование средств межсетевого экранирования уровня веб-приложений для ограничения возможности удаленного доступа;

- использование антивирусного программного обеспечения для отслеживания средств эксплуатации уязвимости.

Организационные меры:

1. Ограничить использование программного средства

2. Использование аналогичного программного средства

Статус уязвимости

Потенциальная уязвимость

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-23738
CVE

EPSS

Процентиль: 93%

0.10122

Средний

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2024-23738

CVSS3: 9.8

nvd

около 2 лет назад

An issue in Postman version 10.22 and before on macOS allows a remote attacker to execute arbitrary code via the RunAsNode and enableNodeClilnspectArguments settings. NOTE: the vendor states "we dispute the report's accuracy ... the configuration does not enable remote code execution.."

GHSA-g343-63vq-2wq6

CVSS3: 9.8

github

около 2 лет назад

An issue in Postman version 10.22 and before on macOS allows a remote attacker to execute arbitrary code via the RunAsNode and enableNodeClilnspectArguments settings.

EPSS

Процентиль: 93%

0.10122

Средний

9.8 Critical

CVSS3

10 Critical

CVSS2