PT-2024-24089 · Stacklok · Minder

Eleftherias · Publicado 2024-04-09 · Atualizado 2024-06-04 · CVE-2024-31455

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Minder da Stacklok, versões anteriores àquela que inclui a solicitação de pull 2941

Descrição

Uma refatoração recente adicionou a capacidade de registrar repositórios do GitHub em um projeto sem especificar um provedor específico. Infelizmente, a consulta SQL para realizar essa ação estava sem parênteses e selecionava um repositório aleatório. Esse problema permite um vazamento de dados.

Recomendações

Para versões anteriores ao patch da solicitação de pull 2941, reverta para antes do commit 5c381cf ou avance para além do 2eb94e7 para resolver o problema. Como solução temporária, considere restringir o acesso à consulta SQL afetada até que um patch esteja disponível.

Exploit

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2024-31455

GHSA-GGP5-28X4-XCJ9

GO-2024-2701

Produtos afetados

Minder

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/31xxx/CVE-2024-31455.json · Exploit
• https://github.com/stacklok/minder/commit/11b6573ad62cfdd783a8bb52f3fce461466037f4 · Nota
• https://github.com/stacklok/minder/pull/2941 · Nota
• https://github.com/stacklok/minder · Nota
• https://github.com/stacklok/minder/security/advisories/GHSA-ggp5-28x4-xcj9 · Nota
• https://github.com/stacklok/minder/commit/5c381cfbf3e4b7ce040ed8511a1fae1a78a0014b · Nota
• https://osv.dev/vulnerability/CVE-2024-31455 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-31455 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-ggp5-28x4-xcj9 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1779016084492042498 · Publicação no Twitter
• https://osv.dev/vulnerability/GO-2024-2701 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1777768427362418931 · Publicação no Twitter