PT-2021-14357 · Onedev · Onedev

Pwntester · Publicado 2021-01-15 · Atualizado 2021-01-21 · CVE-2021-21247

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

**Nome do software vulnerável e versões afetadas:

Versões do OneDev anteriores à 4.0.3

Descrição:

O OneDev é uma plataforma DevOps completa. A página BasePage do aplicativo registra um ouvinte de eventos AJAX (AbstractPostAjaxBehavior) em todas as páginas, exceto na página de login. Esse ouvinte decodifica e deserializa o parâmetro de consulta data. A vulnerabilidade pode ser explorada enviando uma solicitação POST para qualquer página, o que pode levar a um RCE pós-autenticação. Esse endpoint está sujeito a autenticação e requer um usuário válido para que o ataque seja executado.

Recomendações:

Para versões anteriores à 4.0.3, atualize para a versão 4.0.3 ou posterior, que corrige a vulnerabilidade criptografando a carga de serialização com segredos conhecidos apenas pelo servidor. Como solução temporária, considere restringir o acesso ao ouvinte AbstractPostAjaxBehavior até que a atualização seja aplicada. Evite usar o parâmetro de consulta data nas páginas afetadas até que a vulnerabilidade seja resolvida.

Correção

Deserialization of Untrusted Data

Special Elements Injection

Enumeração de Fraquezas

CWE-502

CWE-74

Identificadores relacionados

CVE-2021-21247

GHSA-6PXF-75CF-VWJP

Produtos afetados

Onedev

Referências · 6

• https://github.com/theonedev/onedev/security/advisories/GHSA-6pxf-75cf-vwjp · Nota
• https://t.me/cvenotify/8819 · Publicação no Telegram
• https://t.me/cvenotify/8614 · Publicação no Telegram
• https://t.me/cibsecurity/22228 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-21247 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-21247 · Nota de Segurança