PT-2021-24143 · Unknown · Gocd Server

Mesh3L_911 · Publicado 2021-12-22 · Atualizado 2024-08-04 · CVE-2021-44659

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

GoCD Server versão 21.3.0

Descrição:

O problema diz respeito a uma funcionalidade do GoCD Server que poderia ser explorada para realizar uma falsificação de solicitação do lado do servidor (SSRF). Isso é possível ao adicionar um novo pipeline. A posição do fornecedor é que o comportamento observado não constitui uma vulnerabilidade, uma vez que o design do produto permite que um administrador configure as solicitações de saída.

Recomendações:

Para o servidor GoCD versão 21.3.0, considere restringir a configuração de solicitações de saída para minimizar o risco de exploração. Como solução temporária, revise e limite o uso da funcionalidade de pipeline até que orientações adicionais estejam disponíveis. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2021-44659

Produtos afetados

Gocd Server

Referências · 10

• 🔥 https://youtu.be/WW_a3znugl0 · Exploit
• 🔥❌ https://github.com/Mesh3l911/CVE-2021-44659 · Exploit, Deleted
• https://github.com/gocd/gocd · Nota
• https://github.com/0x3SC4L4T3/Babykernel-ctf-ret2usr · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-44659 · Nota de Segurança
• https://t.me/cybersecuritytechnologies/5038 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-44659 · Aviso do Fabricante
• https://t.me/cvenotify/88922 · Publicação no Telegram
• https://t.me/cibsecurity/34508 · Publicação no Telegram
• https://gocd.org · Aviso do Fabricante