PT-2021-22395 · Rundeck · Rundeck

Fdevans · Publicado 2021-08-30 · Atualizado 2021-09-08 · CVE-2021-39133

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Rundeck anteriores à 3.3.14

Versões do Rundeck anteriores à 3.4.3

Descrição

O Rundeck é um serviço de automação de código aberto com um console web, ferramentas de linha de comando e uma WebAPI. Um usuário com acesso admin ao tipo de recurso system está potencialmente vulnerável a um ataque CSRF que poderia fazer com que o servidor executasse código não confiável em todas as edições do Rundeck.

Recomendações

Para versões anteriores à 3.3.14, atualize para a versão 3.3.14 ou posterior.

Para versões anteriores à 3.4.3, atualize para a versão 3.4.3 ou posterior.

Como solução temporária, considere restringir o acesso ao tipo de recurso system para usuários com acesso admin até que um patch seja aplicado.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2021-39133

GHSA-3JMW-C69H-426C

Produtos afetados

Rundeck

Referências · 8

• https://github.com/rundeck/rundeck/security/advisories/GHSA-3jmw-c69h-426c · Nota
• https://github.com/rundeck/rundeck/commit/67c4eedeaf9509fc0b255aff15977a5229ef13b9 · Correção
• https://github.com/rundeck/rundeck · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-39133 · Nota de Segurança
• https://t.me/cibsecurity/28053 · Publicação no Telegram
• https://t.me/cvenotify/20387 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-3jmw-c69h-426c · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-39133 · Aviso do Fabricante