PT-2020-14674 · Gogs · Gogs
Publicado
2020-10-16
·
Atualizado
2022-04-26
·
CVE-2020-15867
CVSS v3.1
7.2
Alta
| Vetor | AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Gogs de 0.5.5 a 0.12.2
Descrição
O recurso de ganchos Git (git hooks) no Gogs permite a execução remota de código por usuários autenticados. Isso pode levar a uma escalada de privilégios caso o acesso a esse recurso seja concedido a um usuário sem privilégios administrativos. A questão é digna de nota porque a documentação a menciona, mas a interface do usuário não alerta o usuário sobre as possíveis ações inseguras.
Recomendações
Para as versões do Gogs 0.5.5 a 0.12.2, considere restringir o acesso ao recurso git hook apenas a usuários administrativos para minimizar o risco de exploração. Como solução temporária, considere desativar o recurso git hook até que um patch esteja disponível.
Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Gogs