PT-2024-26364 · Go-Git+1 · Go-Git+1

Luhring · Publicado 2024-05-15 · Atualizado 2024-06-04 · CVE-2024-35183

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.4

Média

Vetor base

AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do wolfictl anteriores à 0.16.10

Descrição

Um problema de autenticação do Git permite que o token do GitHub de um usuário local seja enviado para servidores remotos que não sejam o github.com. A maioria das funcionalidades do wolfictl que dependem do Git se baseia em seu próprio pacote git, que contém a lógica centralizada para implementar interações com repositórios Git. Algumas dessas funcionalidades exigem autenticação para acessar repositórios privados. Uma função central, GetGitAuth, procura um token do GitHub na variável de ambiente GITHUB TOKEN e o retorna como um objeto de autenticação básica HTTP para ser usado com a biblioteca github.com/go-git/go-git/v5. A maioria dos chamadores de GetGitAuth usa o token para autenticar-se apenas no github.com; no entanto, em alguns casos, os chamadores estavam passando essa autenticação sem verificar se o repositório git remoto estava hospedado no github.com. Esse comportamento afeta qualquer pessoa que tenha executado os comandos wolfictl check update com uma configuração do Melange que incluísse uma etapa da diretiva git-checkout que fizesse referência a um repositório Git não hospedado no github.com, ou qualquer pessoa que tenha executado wolfictl update <url> com uma URL remota fora do github.com e tivesse a variável de ambiente GITHUB TOKEN definida como um token válido do GitHub.

Recomendações

Para resolver o problema, atualize para a versão 0.16.10 para receber um patch. Como solução temporária, considere remover a variável de ambiente GITHUB TOKEN ao executar wolfictl check update ou `wolfic

Exploit

Correção

Exposure of Resource to Wrong Sphere

Files Accessible to External Parties

Enumeração de Fraquezas

CWE-668

CWE-552

Identificadores relacionados

CVE-2024-35183

GHSA-8FG7-HP93-QHVR

GO-2024-2863

Produtos afetados

Go-Git

Wolfictl

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/35xxx/CVE-2024-35183.json · Exploit
• https://github.com/wolfi-dev/wolfictl/security/advisories/GHSA-8fg7-hp93-qhvr · Nota
• https://github.com/wolfi-dev/wolfictl/blob/4dd6c95abb4bc0f9306350a8601057bd7a92bded/pkg/update/deps/cleanup.go#L49 · Nota
• https://github.com/wolfi-dev/wolfictl/commit/403e93569f46766b4e26e06cf9cd0cae5ee0c2a2 · Nota
• https://github.com/wolfi-dev/wolfictl/blob/6d99909f7b1aa23f732d84dad054b02a61f530e6/pkg/git/git.go#L22 · Nota
• https://github.com/wolfi-dev/wolfictl/commit/0d06e1578300327c212dda26a5ab31d09352b9d0 · Nota
• https://github.com/wolfi-dev/wolfictl · Nota
• https://github.com/wolfi-dev/wolfictl/blob/488b53823350caa706de3f01ec0eded9350c7da7/pkg/update/update.go#L143 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-35183 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-35183 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-8fg7-hp93-qhvr · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2024-2863 · Aviso do Fabricante