CVE-2023-38745
Açıklama
Pandoc 3.1.6 öncesi sürümlerde keyfi dosya yazma: bu durum, --extract-media seçeneğiyle dosya oluşturulurken veya PDF formatına çıktı verilirken girişte hazırlanmış bir image öğesi sağlanarak tetiklenebilir. Bu, bir saldırganın Pandoc çalıştıran sürecin ayrıcalıklarına bağlı olarak keyfi dosyalar oluşturmasına veya üzerine yazmasına olanak tanır. Yalnızca güvenilmeyen kullanıcı girdisini Pandoc'a aktaran ve Pandoc'un PDF üretmek için veya --extract-media seçeneğiyle kullanılmasına izin veren sistemleri etkiler. NOT: bu sorun, CVE-2023-35936 için eksik bir düzeltmeden kaynaklanmaktadır (çift kodlanmış yol adlarının düzgün şekilde hesaba katılmaması).
Nasıl düzeltilir
- pandoc pandoc3.1.6 ya da sonraki bir sürüm
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/QI6RBP6ZKVC2OOCV6SU2FUHPMAXDDJFU/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/JGRJHU2FTSGTHHRTNDF7STEKLKKA25JN/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/LYP3FKDS3KAYMQUZVVL73IUI4CWSKLKP/
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pandoc pandoc | v < 3.1.6 | 3.1.6 |
| debian debian_linux | 10.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.