PT-2021-7455 · Unknown · Check-Spelling
Justinsteven
·
Publicado
2021-07-12
·
Atualizado
2022-07-29
·
CVE-2021-32724
CVSS v2.0
10
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Versões do check-spelling anteriores à v0.0.19
Descrição
O problema está relacionado à exposição do
GITHUB TOKEN na ação do GitHub do check-spelling, que pode ser acionada por uma solicitação de pull (Pull Request) maliciosa. Essa exposição permite que um invasor envie commits para o repositório, contornando os processos de aprovação padrão, e potencialmente roube segredos disponíveis no repositório. O número estimado de dispositivos potencialmente afetados em todo o mundo não foi fornecido. Não há informações sobre incidentes reais em que esse problema tenha sido explorado.Recomendações
Para resolver o problema, os usuários podem:
-
Atualizar para a versão v0.0.19 ou posterior.
-
Desativar o fluxo de trabalho até que todos os ramos sejam corrigidos.
-
Configurar o repositório para Permitir ações específicas e adicionar explicitamente outras ações que o repositório utiliza.
-
Definir as permissões de fluxo de trabalho do repositório como “Ler conteúdo do repositório”.
Para fluxos de trabalho que utilizam um SHA fixado ou uma versão marcada, altere os fluxos de trabalho afetados em todos os ramos do repositório para a versão mais recente.
Como solução alternativa temporária, considere desativar o fluxo de trabalho vulnerável até que um patch esteja disponível.
Restrinja o acesso ao módulo vulnerável para minimizar o risco de exploração.
Evite usar o
GITHUB TOKEN no endpoint da API afetado até que o problema seja resolvido.Correção
Insertion into Log File
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Check-Spelling