PT-2025-4591 · Coolify · Coolify
Codesalatdev
·
Publicado
2025-01-24
·
Atualizado
2025-01-24
·
CVE-2025-22605
CVSS v4.0
9.3
Crítica
| Vetor | AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do Coolify de 4.0.0-beta.18 a 4.0.0-beta.252
Descrição
Uma vulnerabilidade na execução de comandos em servidores remotos permite que um usuário autenticado execute código arbitrário no container local do Coolify, obtendo acesso a dados e chaves privadas ou tokens de outros usuários/equipes. Isso concede a atacantes autenticados a capacidade de recuperar e controlar completamente os dados e a disponibilidade do software. Instâncias do Coolify hospedadas centralmente estão especialmente em risco, pois dados sensíveis de todos os usuários e servidores conectados podem ser vazados por qualquer usuário. Os atacantes também são capazes de modificar o software em execução, potencialmente implantando imagens maliciosas em nós remotos ou alterando seu comportamento.
Recomendações
Para as versões de 4.0.0-beta.18 a 4.0.0-beta.252, atualize para a versão 4.0.0-beta.253 para resolver o problema. Como solução temporária, considere restringir o acesso ao recurso de execução de comandos em servidores remotos até que a atualização seja aplicada. Além disso, restrinja o acesso a dados sensíveis e chaves privadas ou tokens para minimizar o risco de exploração.
Exploit
Correção
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Coolify