PT-2020-13921 · Atlassian · Gajira-Comment Github Action

Jarlob · Publicado 2020-11-09 · Atualizado 2020-11-18 · CVE-2020-14189

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões anteriores à 2.0.2 da ação do GitHub “Atlassian gajira-comment”

Descrição

A vulnerabilidade permite que invasores remotos executem código arbitrário no contexto de um GitHub Runner ao criar um comentário em uma issue do GitHub especialmente criado para esse fim. Isso se deve a um problema na função execute.

Recomendações

Para versões anteriores à 2.0.2, atualize para a versão 2.0.2 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à função execute até que um patch esteja disponível.

Correção

Identificadores relacionados

CVE-2020-14189

GHSA-HJ6W-PM28-H8HF

Produtos afetados

Gajira-Comment Github Action

Referências · 4

• https://github.com/atlassian/gajira-comment/security/advisories/GHSA-hj6w-pm28-h8hf · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-14189 · Nota de Segurança
• https://t.me/cibsecurity/16060 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-14189 · Aviso do Fabricante