PT-2020-18353 · Github · Easybuild
Wpoely86
·
Publicado
2020-03-19
·
Atualizado
2020-03-23
·
CVE-2020-5262
CVSS v4.0
9.3
Crítica
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Versões do EasyBuild anteriores à 4.1.2
Descrição
O Token de Acesso Pessoal (PAT) do GitHub usado pelo EasyBuild para recursos de integração com o GitHub é exibido em texto simples nos arquivos de log de depuração do EasyBuild. Esse problema ocorre ao usar opções como
--new-pr, --from-pr, etc., e a mensagem de log só aparece ao usar --debug. A mensagem é registrada no arquivo de log de nível superior, mas não nos logs de instalação individuais do software. O token seria revogado automaticamente pelo GitHub se um arquivo de log contendo-o fosse enviado para o GitHub.Recomendações
Para versões do EasyBuild anteriores à 4.1.2, atualize para a versão 4.1.2 ou posterior do EasyBuild para resolver o problema. Além disso, revogue os tokens do GitHub existentes usados com o EasyBuild e instale novos usando
eb --install-github-token --force. Como solução alternativa temporária, evite usar os recursos de integração com o GitHub nas versões afetadas do EasyBuild, não compartilhe arquivos de log de depuração de nível superior do EasyBuild e limpe os arquivos de log temporários do EasyBuild em /tmp.Exploit
Correção
Insertion into Log File
Insecure Storage of Sensitive Information
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Easybuild