Wass3R

**Nome do software vulnerável e versões afetadas** Versões do Vela Server anteriores à 0.16.0 Versões do Vela Worker anteriores à 0.16.0 Versões do Vela UI anteriores à 0.17.0 **Descrição** O problema diz respeito às configurações padrão no Vela que permitem exploração e fugas do contêiner. Especificamente, a execução de plug-ins do Vela como contêineres Docker privilegiados pode permitir que um usuário mal-intencionado fuja do contêiner e obtenha acesso ao sistema operacional do host do worker. Além disso, a configuração padrão de repositórios permitidos permite que qualquer pessoa com uma conta no GitHub habilite um repositório dentro do Vela e execute compilações, possibilitando potencialmente a execução de código arbitrário. Os eventos habilitados por padrão também permitem pull requests, o que pode representar um risco se segredos dentro do Vela estiverem configurados para ficarem disponíveis em pull requests. **Recomendações** Para versões do Vela Server anteriores à 0.16.0, atualize para a versão 0.16.0 ou posterior e altere explicitamente as configurações padrão para configurar o Vela conforme desejado. Para versões do Vela Worker anteriores à 0.16.0, atualize para a versão 0.16.0 ou posterior e altere explicitamente as configurações padrão para configurar o Vela conforme desejado. Para versões do Vela UI anteriores à 0.17.0, atualize para a versão 0.17.0 ou posterior e altere explicitamente as configurações padrão para configurar o Vela conforme desejado. Como solução alternativa temporária, considere ajustar a configuração `VELA RUNTIME PRIVILEGED IMAGES` do worker para que fique explicitamente vazia, utilizando a configuração `VELA REPO ALLOWLIST` no componente do servidor para restringir o acesso a uma lista de repositórios

**Nome do software vulnerável e versões afetadas: Versões do Vela anteriores à 0.6.1 Versões do compilador Vela anteriores à 0.6.1 Descrição: A vulnerabilidade permite a exposição da configuração do servidor, afetando todos os usuários do Vela. Um invasor pode usar a função `env` do Sprig para recuperar informações de configuração. Isso pode ser feito por meio da funcionalidade de modelos de pipeline. Por exemplo, usando a função `env` em um modelo para exibir informações confidenciais, como `VELA SOURCE CLIENT` ou `VELA SECRET`. Recomendações: Para versões anteriores à 0.6.1, atualize para a versão 0.6.1. Alterne todos os segredos para minimizar o risco de exploração. Como solução alternativa temporária, considere restringir o uso da função `env` do Sprig em modelos de pipeline até que o problema seja resolvido.