PT-2022-13488 · Gogs · Gogs

CVE-2022-0870 · Publicado 2022-03-11 · Atualizado 2024-08-21

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.0

Média

Vetor base

AV:N/AC:L/Au:N/C:P/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do gogs anteriores à 0.12.5

Descrição

O problema está relacionado à falsificação de solicitação do lado do servidor (SSRF) na funcionalidade de migração de repositórios do gogs. Isso permite que um usuário mal-intencionado descubra serviços na rede interna. Todas as instalações que aceitam tráfego público são afetadas. Os CIDRs da rede interna estão proibidos de serem usados como destinos de migração de repositórios.

Recomendações

Para versões anteriores à 0.12.5, atualize para a versão 0.12.5 ou a versão mais recente 0.13.0+dev para resolver o problema. Como solução temporária, considere executar o gogs em sua própria rede privada até que uma atualização possa ser aplicada. Restrinja o acesso à funcionalidade de migração de repositórios para minimizar o risco de exploração.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2022-0870

GHSA-7V5R-R995-Q2X2

GO-2022-0566

Produtos afetados

Gogs

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/0xxx/CVE-2022-0870.json · Exploit
• 🔥 https://huntr.dev/bounties/327797d7-ae41-498f-9bff-cc0bf98cf531 · Exploit
• https://github.com/gogs/gogs · Nota
• https://github.com/gogs/gogs/commit/91f2cde5e95f146bfe4765e837e7282df6c7cabb · Correção
• https://osv.dev/vulnerability/CVE-2022-0870 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-0870 · Nota de Segurança
• https://github.com/advisories/GHSA-7v5r-r995-q2x2 · Nota
• https://osv.dev/vulnerability/GHSA-7v5r-r995-q2x2 · Aviso do Fabricante
• https://t.me/cibsecurity/38779 · Publicação no Telegram
• https://osv.dev/vulnerability/GO-2022-0566 · Aviso do Fabricante
• https://t.me/cvenotify/28096 · Publicação no Telegram
• https://t.me/cvenotify/28099 · Publicação no Telegram