CVE-2020-37012: Injeção de Comando no Sistema Operacional no Tea LaTeX 1.0 via api.php
Segundo a descrição, o Tea LaTeX 1.0 apresenta uma falha de injeção de comando no sistema operacional acessível sem autenticação pelo /api.php, classificada como crítica com CVSS 3.1 de 9,8. A falha está associada à ação de API tex2png. O registro não informa versão corrigida nem exploração confirmada.
Visão geral
O registro descreve o Tea LaTeX 1.0 como portador de uma falha de execução remota de código no endpoint /api.php. Segundo a descrição, uma parte remota não autenticada poderia fazer com que comandos arbitrários de shell fossem executados quando a entrada é processada pela ação de API tex2png. A fraqueza é classificada como CWE-78, injeção de comando no sistema operacional.
Impacto
- O vetor CVSS 3.1 classifica o impacto em confidencialidade, integridade e disponibilidade como alto (C:H/I:H/A:H), com pontuação base de 9,8.
- A VulnCheck, CNA responsável, também informa uma pontuação CVSS 4.0 de 9,3.
- Se a falha for explorada conforme descrito, um atacante poderia executar comandos no servidor que hospeda a aplicação. As consequências reais dependem dos privilégios da conta de serviço e do ambiente em que a aplicação está instalada.
Produtos e versões afetados
- A descrição menciona o Tea LaTeX 1.0. A lista de itens afetados no registro está vazia, portanto não há faixa de versões afetadas confirmada além dessa.
- O registro não informa versão corrigida. Isso não comprova que não exista correção; a disponibilidade de correção é desconhecida.
Status de exploração
- O registro não indica inclusão deste CVE no catálogo KEV da CISA, portanto esta análise não afirma exploração ativa na natureza.
- Não aparece exploração confirmada nas fontes consultadas.
- O registro referencia uma entrada na Exploit-DB e um aviso da VulnCheck. A presença dessas referências indica discussão pública ou publicação de referência, mas não confirma atividade de exploração.
Correção e mitigação
- Mapeie todas as instalações do Tea LaTeX, priorizando as acessíveis pela internet.
- Restrinja o acesso de rede à aplicação para que fontes não confiáveis não alcancem o endpoint api.php até que os mantenedores confirmem uma correção.
- Desative a funcionalidade tex2png caso seu uso não a exija.
- Execute o serviço com privilégios mínimos e isolado de sistemas sensíveis.
- Acompanhe o repositório upstream e o aviso da VulnCheck para atualizações.
Orientação para detecção
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns ao api.php, especialmente as que invocam a ação tex2png a partir de origens desconhecidas.
- Monitore o host da aplicação quanto a processos filhos inesperados iniciados pelo serviço web ou PHP.
- Gere alertas para conexões de saída iniciadas pelo processo do servidor web que fujam da operação normal.
Limitações das informações disponíveis
- O registro contém apenas uma descrição curta. Não detalha o tratamento exato das entradas nem outra faixa de versões afetadas além do Tea LaTeX 1.0.
- Não há no registro versão corrigida, correção do fornecedor ou pontuação EPSS.
- O status da fonte é Deferred, portanto as informações podem mudar.
Perguntas frequentes
O CVE-2020-37012 é explorado na natureza?
O registro não mostra inclusão no catálogo KEV da CISA e não aparece exploração confirmada nas fontes consultadas. Ainda assim, trate a exposição com seriedade, pois a pontuação CVSS é crítica.
Existe versão corrigida?
O registro não informa versão corrigida, portanto o status de correção é desconhecido. Consulte o repositório upstream e o aviso da VulnCheck para atualizações.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.