CVE-2024-56324

GoCD davamlı çatdırılma serveridir. GoCD-nin 24.4.0 versiyasından əvvəlki versiyaları, GoCD "group admins" istifadəçilərinin idarə etdikləri qrupların xammal XML konfiqurasiyasını redaktə etmək imkanından sui-istifadə edərək GoCD serverində XML External Entity (XXE) inyeksiyasını tetikləməsinə şərait yarada bilər. Nəzəri olaraq, XXE zəifliyi SSRF, GoCD serverindən məlumat sızması və kataloq keçidi (directory traversal) kimi əlavə hücumlara səbəb ola bilər, lakin bu əlavə hücumların istismar edilə bildiyi açıq şəkildə nümayiş etdirilməmişdir. Bu problem GoCD 24.5.0 versiyasında düzəldilmişdir. Bəzi müvəqqəti həll yolları mövcuddur. Əgər "group admin" istifadəçilərinin boru kəmərlərinin (pipelines) XML fayllarını birbaşa redaktə etmək funksionallığına (UI və ya konfiqurasiya repozitoriyasından istifadə etmək əvəzinə) ehtiyacı yoxdursa, xarici reverse proxy və ya WAF vasitəsilə `/go/*/pipelines/snippet` marşrutlarına giriş müvəqqəti olaraq bloklana bilər. Həmçinin, hər hansı mühit çıxış nəzarəti (egress control) vasitəsilə GoCD serverindən ixtiyari ünvanlara xarici girişin qarşısını almaq olar.