CVE-2020-14000

Kritik

Açıklama

MIT Lifelong Kindergarten Scratch scratch-vm 0.2.0-prerelease.20200714185213 öncesi sürümleri, belirli _ karakterleri içeren güvenilmeyen project.json dosyalarından uzantı URL'lerini yükler; bu durum, URL içeriğinin bir betik olarak değerlendirilmesi ve bir worker olarak çalıştırılması nedeniyle uzaktan kod çalıştırmaya yol açar. Sorumlu kod serialization/sb3.js dosyasındaki getExtensionIdForOpcode fonksiyonudur. _ kullanımı, URL'lerin bölündüğü ve dolayısıyla serileştirme saldırılarının önlendiği eski sürümlerdeki bir koruma mekanizmasıyla uyumsuzdur. NOT: scratch.mit.edu üzerinden sunulan hizmet, worker betikleri bulunmadığı için etkilenmemektedir.

ÖnemKritik

CVSS9.8

İstismar olasılığı—

ÜrünMit Scratch-vm

Yayın16 Tem 2020

İlk görülme16 Tem 2020

Nasıl düzeltilir

Güncelleyin

mit scratch-vm0.2.0-prerelease.20200714185213 ya da sonraki bir sürüm
scratch-vm0.2.0-prerelease.20200714185213 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
mit scratch-vm	v < 0.2.0-prerelease.20200714185213	0.2.0-prerelease.20200714185213
scratch-vmnpm	v < 0.2.0-prerelease.20200714185213	0.2.0-prerelease.20200714185213

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.