PT-2024-7509 · Onedev · Onedev

Robinshine · Publicado 2024-08-26 · Atualizado 2025-01-13 · CVE-2024-45309

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas:

Versões do OneDev anteriores à 11.0.9

Descrição:

Uma vulnerabilidade no OneDev permite que usuários não autenticados leiam arquivos arbitrários acessíveis pelo processo do servidor OneDev. Esse problema foi corrigido na versão 11.0.9. A vulnerabilidade está relacionada à proteção insuficiente de dados internos, o que poderia permitir que um invasor remoto lesse arquivos arbitrários, expondo potencialmente informações confidenciais.

Recomendações:

Para versões anteriores à 11.0.9, atualize para a versão 11.0.9 para corrigir este problema. Como solução temporária, considere restringir o acesso a arquivos e diretórios confidenciais para minimizar o risco de exploração. Evite usar o processo do servidor OneDev para acessar arquivos confidenciais até que o problema seja resolvido.

Exploit

Correção

Path traversal

Information Disclosure

Enumeração de Fraquezas

CWE-22

CWE-200

Identificadores relacionados

BDU:2024-08898

CVE-2024-45309

GHSA-7WG5-6864-V489

Produtos afetados

Onedev

Referências · 23

• 🔥 https://github.com/rapid7/metasploit-framework/blob/master/modules/auxiliary/gather/onedev_arbitrary_file_read.rb · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/45xxx/CVE-2024-45309.json · Exploit
• https://github.com/theonedev/onedev/commit/4637aaac8c70d41aa789b7fce208b75c6a7b711f · Correção
• https://github.com/theonedev/onedev/security/advisories/GHSA-7wg5-6864-v489 · Nota
• https://asec.ahnlab.com/en/84118 · Nota
• https://twitter.com/zoomeye_team/status/1848671643889242318 · Publicação no Twitter
• https://t.me/cvedetector/8499 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-45309 · Aviso do Fabricante
• https://vuldb.com/?id.281137 · Nota
• https://twitter.com/Hossted_OSS/status/1853364076446961681 · Publicação no Twitter
• https://t.me/pentestingnews/52533 · Publicação no Telegram
• https://twitter.com/Raj_Samani/status/1878744472969957699 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1848379559369982187 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2024-08898 · Nota de Segurança
• https://twitter.com/Siebene7/status/1848727539046617324 · Publicação no Twitter