PT-2021-14353 · Onedev · Onedev

Pwntester · Publicado 2021-01-15 · Atualizado 2021-01-21 · CVE-2021-21243

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N

**Nome do software vulnerável e versões afetadas:

Versões do OneDev anteriores à 4.0.3

Descrição:

O OneDev é uma plataforma DevOps completa. No OneDev, um endpoint REST do Kubernetes expõe dois métodos que deserializam dados não confiáveis do corpo da solicitação. Esses endpoints não aplicam nenhuma verificação de autenticação ou autorização. Essa falha pode levar a uma execução remota de código (RCE) antes da autenticação.

Recomendações:

Para versões anteriores à 4.0.3, atualize para a versão 4.0.3 ou posterior, que corrige o problema ao não utilizar a deserialização no lado do KubernetesResource. Como solução alternativa temporária, considere restringir o acesso ao endpoint REST do Kubernetes vulnerável até que a atualização seja aplicada.

Correção

Deserialization of Untrusted Data

Special Elements Injection

Enumeração de Fraquezas

CWE-502

CWE-74

Identificadores relacionados

CVE-2021-21243

GHSA-9MMQ-FM8C-Q4FV

Produtos afetados

Onedev

Referências · 6

• https://github.com/theonedev/onedev/commit/9637fc8fa461c5777282a0021c3deb1e7a48f137 · Correção
• https://github.com/theonedev/onedev/security/advisories/GHSA-9mmq-fm8c-q4fv · Nota
• https://t.me/cvenotify/8613 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-21243 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-21243 · Nota de Segurança
• https://t.me/cibsecurity/22220 · Publicação no Telegram