PT-2020-14797 · Octopus · Octopus Deploy

Publicado 2020-08-25 · Atualizado 2022-07-27 · CVE-2020-16197

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Octopus Deploy versão 3.4

Descrição

Foi detectada uma falha que permite que um destino de implantação seja configurado com uma conta ou certificado que esteja fora do escopo desse destino. Isso permite que um usuário autorizado possa, potencialmente, utilizar um certificado para o qual não tem permissão de uso. Além disso, um usuário autorizado pode obter metadados do certificado ao associá-lo a determinados recursos que deveriam falhar na validação de escopo.

Recomendações

Para o Octopus Deploy versão 3.4, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Improper Certificate Validation

Enumeração de Fraquezas

CWE-295

Identificadores relacionados

CVE-2020-16197

Produtos afetados

Octopus Deploy

Referências · 6

• https://github.com/OctopusDeploy/Issues/issues/6530 · Nota
• https://github.com/OctopusDeploy/Issues/issues/6531 · Nota
• https://github.com/OctopusDeploy/Issues/issues/6529 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-16197 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-16197 · Aviso do Fabricante
• https://t.me/cvenotify/33858 · Publicação no Telegram