CVE-2020-37123: Injeção de comando do SO no Pinger 1.0 leva a execução remota de código

Visão geral

O registro descreve um problema de execução remota de código no Pinger 1.0 causado por injeção de comando do sistema operacional (CWE-78). Segundo a descrição, os parâmetros ping e socket não são sanitizados antes de chegar ao ping.php.

Impacto

A descrição indica que um atacante poderia executar comandos do sistema no servidor e gravar arquivos PHP arbitrários.
O vetor CVSS 3.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H indica, conforme a pontuação, acessibilidade pela rede, baixa complexidade, ausência de privilégios ou interação do usuário e alto impacto na confidencialidade, integridade e disponibilidade.
Uma pontuação CVSS 4.0 de 9.3 também é listada pelo mesmo provedor.

Produtos e versões afetados

O produto citado na descrição é o Pinger 1.0.
O registro não contém dados estruturados de versões afetadas ou corrigidas.
O repositório do projeto está indicado em github.com/wcchandler/pinger.

Status de exploração

Neste registro, a CVE não consta no catálogo CISA KEV. Não há evidência de exploração confirmada na natureza nas fontes consultadas. Uma entrada na Exploit-DB aparece entre as referências, mas o registro não estabelece como ela tem sido utilizada.

Correção e mitigação

Identifique se o Pinger 1.0 está implantado no seu ambiente, principalmente em instâncias acessíveis pela internet.
O registro não identifica correção do fornecedor. Trate a ausência de correção listada como desconhecida, e não como prova de que não existe correção.
Restrinja ou remova o acesso à aplicação afetada até que uma correção oficial seja confirmada.
Valide as entradas de forma rigorosa e evite repassar valores fornecidos pelo usuário a shells do sistema operacional.
Execute a aplicação web com privilégios mínimos e restrinja as permissões de escrita da conta do servidor web.

Orientações de detecção

Revise os logs do servidor web em busca de requisições a ping.php com valores de parâmetro incomuns ou metacaracteres de shell.
Monitore diretórios acessíveis pela web em busca de novos arquivos PHP inesperados.
Observe processos do servidor web que iniciem processos filhos inesperados.

Limitações das informações disponíveis

O registro não possui intervalo estruturado de versões afetadas, versão corrigida nem aviso oficial do fornecedor.
Dados de EPSS e SSVC não estão disponíveis.
As pontuações CVSS são atribuídas, no registro, ao CNA disclosure@vulncheck.com.

Perguntas frequentes

O que é a CVE-2020-37123?

É uma falha de injeção de comando do sistema operacional no Pinger 1.0 que, segundo o registro, permite execução remota de código pelos parâmetros ping e socket.

Esta CVE é conhecida por ser explorada ativamente?

O CISA KEV não a lista neste registro, e não há evidência de exploração confirmada na natureza nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.