PT-2022-19436 · Gocd · Gocd

Chadlwilson · Publicado 2022-05-20 · Atualizado 2022-06-06 · CVE-2022-29183

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do GoCD 20.2.0 a 21.4.0

Descrição

O GoCD é um servidor de entrega contínua. O problema diz respeito a cross-site scripting refletido por meio do abuso do tratamento de erros da função de comparação do pipeline para renderizar HTML arbitrário na página retornada. Isso poderia permitir que um invasor induzisse uma vítima a executar código, o que permitiria ao invasor operar ou obter controle sobre os mesmos recursos aos quais a vítima tinha acesso.

Recomendações

Para as versões do GoCD 20.2.0 a 21.4.0, atualize para o GoCD 21.4.0 para resolver o problema.

Como solução alternativa temporária, considere bloquear o acesso a “/go/compare/.*” antes do servidor GoCD por meio de um proxy reverso, firewall de aplicativos web ou equivalente, para impedir o uso da função de comparação de pipeline.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-29183

GHSA-3VVQ-Q4QV-X2GF

Produtos afetados

Gocd

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/29xxx/CVE-2022-29183.json · Exploit
• https://github.com/gocd/gocd/releases/tag/21.4.0 · Nota
• https://github.com/gocd/gocd/security/advisories/GHSA-3vvq-q4qv-x2gf · Nota
• https://github.com/gocd/gocd/pull/9829/commits/bda81084c0401234b168437cf35a63390e3064d1 · Correção
• https://t.me/cvenotify/31162 · Publicação no Telegram
• https://gocd.org/releases/#21-4-0 · Aviso do Fabricante
• https://t.me/cibsecurity/43080 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-29183 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-29183 · Nota de Segurança