PT-2025-1147 · Gocd · Gocd
Baiyecha404
·
Publicado
2025-01-03
·
Atualizado
2025-08-01
·
CVE-2024-56320
CVSS v4.0
9.4
Crítica
| Vetor | AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do GoCD anteriores a 24.5.0
Descrição
O problema está relacionado à autorização inadequada de acesso à funcionalidade de interface do usuário (UI) de "Configuration XML" de administração e sua API associada no sistema GoCD, permitindo que um insider malicioso ou usuário já autenticado escale seus privilégios para os de um administrador do GoCD. A vulnerabilidade pode ser explorada por um atacante remoto, mas requer autenticação prévia. O número estimado de dispositivos potencialmente afetados não é especificado.
Recomendações
Para versões do GoCD anteriores a 24.5.0, atualize para a versão 24.5.0 para corrigir o problema.
Como solução temporária, considere usar um proxy reverso, WAF ou similar para bloquear externamente caminhos de acesso com o prefixo
/go/rails/.
Se não for possível atualizar ou bloquear a rota acima, considere reduzir a base de usuários do GoCD para um conjunto de usuários mais confiáveis, incluindo a desativação temporária do uso de plugins como o guest-login-plugin.Exploit
Correção
LPE
Improper Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Gocd