PT-2022-24808 · Onedev · Onedev

Paul Gerste · Publicado 2022-09-13 · Atualizado 2022-10-01 · CVE-2022-39208

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Onedev anteriores à 7.3.0

Descrição

O Onedev é um servidor Git de código aberto e auto-hospedado com CI/CD e Kanban. Todos os arquivos no diretório /opt/onedev/sites/ estão expostos e podem ser lidos por usuários não autenticados. Esse diretório contém todos os projetos, incluindo seus repositórios Git básicos e artefatos de compilação. Essa vulnerabilidade pode ser explorada por invasores não autenticados para vazar todos os arquivos de qualquer projeto. Como os IDs dos projetos são incrementais, um invasor poderia percorrê-los e vazar todos os dados dos projetos.

Recomendações

Para versões anteriores à 7.3.0, atualize para a versão 7.3.0 para resolver o problema. Como solução temporária, considere restringir o acesso ao diretório /opt/onedev/sites/ até que a atualização seja aplicada.

Exploit

Correção

Files Accessible to External Parties

Enumeração de Fraquezas

CWE-552

Identificadores relacionados

CVE-2022-39208

GHSA-H427-RV56-C9H2

Produtos afetados

Onedev

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/39xxx/CVE-2022-39208.json · Exploit
• 🔥 https://blog.sonarsource.com/onedev-remote-code-execution · Exploit
• https://github.com/theonedev/onedev/security/advisories/GHSA-h427-rv56-c9h2 · Nota
• https://github.com/theonedev/onedev/commit/8aa94e0daf8447cdf76d4f27bfda0a85a7ea5822 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2022-39208 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-39208 · Aviso do Fabricante
• https://t.me/cibsecurity/49696 · Publicação no Telegram