PT-2021-14359 · Snakeyaml+1 · Snakeyaml+1

Pwntester · Publicado 2021-01-15 · Atualizado 2022-04-26 · CVE-2021-21249

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

**Nome do software vulnerável e versões afetadas:

Versões do OneDev anteriores à 4.0.3

Descrição:

O problema envolve a análise de YAML e pode levar à execução remota de código após a autenticação. O OneDev utiliza o SnakeYaml, que permite a instanciação de classes arbitrárias por padrão. Isso pode ser aproveitado para executar código arbitrário, instanciando classes como javax.script.ScriptEngineManager e utilizando URLClassLoader para carregar o provedor do mecanismo de script, resultando na instanciação de uma classe controlada pelo usuário.

Recomendações:

Para versões anteriores à 4.0.3, atualize para a versão 4.0.3 ou posterior, que permite apenas a desserialização de determinadas classes conhecidas. Como solução alternativa temporária, considere desativar o uso do SnakeYaml ou restringir a instanciação de classes arbitrárias até que um patch esteja disponível.

Correção

Deserialization of Untrusted Data

Special Elements Injection

Enumeração de Fraquezas

CWE-502

CWE-74

Identificadores relacionados

CVE-2021-21249

GHSA-7XHQ-M2Q9-6HPM

Produtos afetados

Onedev

Snakeyaml

Referências · 5

• https://github.com/theonedev/onedev/commit/d6fc4212b1ac1e9bbe3ce444e95f9af1e3ab8b66 · Correção
• https://github.com/theonedev/onedev/security/advisories/GHSA-7xhq-m2q9-6hpm · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-21249 · Nota de Segurança
• https://t.me/cvenotify/8621 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-21249 · Aviso do Fabricante