PT-2021-14377 · Octopus Deploy · Octopusdsc

Wizedkyle · Publicado 2021-01-22 · Atualizado 2021-02-01 · CVE-2021-21270

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.2

Média

Vetor base

AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

**Nome do software vulnerável e versões afetadas:

OctopusDSC versões 4.0.977 e anteriores

Descrição:

O problema diz respeito à exposição de uma chave de API do cliente, usada para se conectar ao Octopus Server, por meio de registros em texto simples. Isso ocorre no contexto do OctopusDSC, um módulo do PowerShell com recursos DSC para instalar e configurar um servidor Octopus Deploy e o agente Tentacle.

Recomendações:

Para as versões 4.0.977 e anteriores do OctopusDSC, atualize para a versão 4.0.1002 ou posterior para resolver o problema.

Correção

Cleartext Transmission of Sensitive Information

Enumeração de Fraquezas

CWE-319

Identificadores relacionados

CVE-2021-21270

GHSA-PHMM-RFG9-94FM

Produtos afetados

Octopusdsc

Referências · 7

• https://github.com/OctopusDeploy/OctopusDSC/security/advisories/GHSA-phmm-rfg9-94fm · Nota
• https://github.com/OctopusDeploy/OctopusDSC/pull/270 · Correção
• https://github.com/OctopusDeploy/OctopusDSC/releases/tag/v4.0.1002 · Nota
• https://github.com/OctopusDeploy/OctopusDSC/commit/24b448e6ac964ed938475add494a145c0473ac42 · Correção
• https://osv.dev/vulnerability/CVE-2021-21270 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-21270 · Nota de Segurança
• https://t.me/cibsecurity/22527 · Publicação no Telegram