PT-2021-14504 · Vela · Vela
Jordan Sussman
·
Publicado
2021-04-09
·
Atualizado
2024-08-21
·
CVE-2021-21432
CVSS v3.1
7.5
Alta
| Vetor | AV:A/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:L |
Nome do software vulnerável e versões afetadas
Versões 0.7.0 a 0.7.4 do Vela
Descrição
O problema diz respeito a um mecanismo de autenticação adicionado na versão 0.7.0 do Vela, que permite que usuários mal-intencionados obtenham segredos utilizando credenciais injetadas no arquivo
~/.netrc. Isso pode ser feito criando um servidor Vela, fazendo login na interface do usuário do Vela, promovendo-se a administrador do Vela, ativando um repositório e adicionando um arquivo .vela.yml com conteúdo específico ao repositório. A vulnerabilidade permite o acesso a segredos, que podem ser obtidos executando um script com configurações específicas do ambiente.Recomendações
Para as versões 0.7.0 a 0.7.4 do Vela, atualize para a versão 0.7.5 ou posterior para resolver o problema.
Como solução temporária, considere restringir o acesso ao arquivo
~/.netrc e ao endpoint da API github.com/go-vela/server para minimizar o risco de exploração.Evite usar a variável de ambiente
VELA TOKEN no endpoint da API afetado até que o problema seja resolvido.Correção
Incorrect Authorization
Missing Authorization
Improper Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Vela