PT-2022-13489 · Gogs · Gogs

CVE-2022-0871 · Publicado 2022-03-11 · Atualizado 2024-08-21

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do gogs anteriores à 0.12.5

Descrição

O problema diz respeito ao tratamento inadequado da autorização em instalações que utilizam o PAM como fonte de autenticação. Contas PAM expiradas e contas com senhas expiradas continuam sendo consideradas válidas.

Recomendações

Para versões anteriores à 0.12.5, atualize para a 0.12.5 ou a versão mais recente 0.13.0+dev.

Como solução temporária, além de marcar as contas PAM como expiradas, desative-as/bloqueie-as executando usermod -L <username>.

Exploit

Correção

Missing Authorization

Incorrect Authorization

Improper Authorization

Enumeração de Fraquezas

CWE-862

CWE-863

CWE-285

Identificadores relacionados

CVE-2022-0871

GHSA-65F3-3278-7M65

GHSA-GW5H-H6HJ-F56G

GO-2022-0369

Produtos afetados

Gogs

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/0xxx/CVE-2022-0871.json · Exploit
• 🔥 https://huntr.dev/bounties/ea82cfc9-b55c-41fe-ae58-0d0e0bd7ab62 · Exploit
• https://github.com/gogs/gogs · Nota
• https://github.com/gogs/gogs/commit/64102be2c90e1b47dbdd379873ba76c80d4b0e78 · Correção
• https://github.com/gogs/gogs/security/advisories/GHSA-gw5h-h6hj-f56g · Nota
• https://github.com/gogs/gogs/issues/6810 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-0871 · Nota de Segurança
• https://t.me/cvenotify/28097 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-65f3-3278-7m65 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-0871 · Aviso do Fabricante
• https://t.me/cibsecurity/38780 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-gw5h-h6hj-f56g · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2022-0369 · Aviso do Fabricante