PT-2022-11811 · Thoughtworks · Gocd

Publicado 2022-04-14 · Atualizado 2022-04-21 · CVE-2021-43286

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do ThoughtWorks GoCD anteriores à 21.3.0

Descrição

Foi detectada uma vulnerabilidade no ThoughtWorks GoCD em que um invasor com privilégios para criar um novo pipeline em um servidor GoCD pode explorar uma injeção de linha de comando no recurso “Testar conexão” da URL do Git para executar código arbitrário.

Recomendações

Para versões anteriores à 21.3.0, atualize para a versão 21.3.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao recurso “Test Connection” na URL do Git para minimizar o risco de exploração.

Exploit

Correção

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

CVE-2021-43286

Produtos afetados

Gocd

Referências · 8

• 🔥 https://blog.sonarsource.com/gocd-vulnerability-chain · Exploit
• https://github.com/gocd/gocd/commit/6fa9fb7a7c91e760f1adc2593acdd50f2d78676b · Correção
• https://github.com/gocd/gocd/commit/2b77b533abcbb79c8fc758dec9984305dc1ade42 · Correção
• https://osv.dev/vulnerability/CVE-2021-43286 · Aviso do Fabricante
• https://t.me/cibsecurity/40767 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-43286 · Nota de Segurança
• https://gocd.org/releases/#21-3-0 · Aviso do Fabricante
• https://t.me/cvenotify/28900 · Publicação no Telegram