CVE-2022-24832
Açıklama
GoCD, açık kaynaklı bir sürekli teslimat sunucusudur. GoCD Server ile birlikte gelen gocd-ldap-authentication-plugin, LDAP sorguları oluşturmak için kullanıcı adını kullanırken özel karakterleri doğru şekilde kaçışlamaz. Bu durum doğrudan rastgele LDAP verisi sızdırılmasına izin vermese de, kötü niyetli bir LDAP ile kimlik doğrulaması yapmış mevcut bir GoCD kullanıcısının kötü amaçlı sorgular oluşturup çalıştırmasına olanak tanır ve bu kullanıcının kaba kuvvet mekanizmaları aracılığıyla LDAP veritabanındaki diğer kullanıcılar veya girdiler hakkında (ör. alternatif alanlar, kullanıcı adları, karma değerli parolalar vb.) bilgi edinmesini sağlar. Bu yalnızca GoCD sunucusunda çalışan bir LDAP yetkilendirme yapılandırması etkin olan kullanıcıları etkiler ve yalnızca bu tür bir LDAP yapılandırması kullanarak kimlik doğrulaması yapan kullanıcılar tarafından sömürülebilir. Bu sorun, gocd-ldap-authentication-plugin v2.2.0-144 ile birlikte gelen GoCD 22.1.0'da düzeltilmiştir.
Nasıl düzeltilir
- thoughtworks gocd22.1.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| thoughtworks gocd | 17.5.0 ≤ v < 22.1.0 | 22.1.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.