CVE-2022-39308

GoCD bir sürekli teslimat sunucusudur. GoCD, ürününüzün sürekli teslimatı için derleme-test-yayınlama döngüsünü otomatikleştirmenize ve optimize etmenize yardımcı olur. GoCD'nin 19.2.0 ile 19.10.0 (dahil) arasındaki sürümleri, erişim belirteçlerinin doğrulanmasında sabit zamanlı bir algoritma yerine standart dize karşılaştırmasının kullanılması nedeniyle bir zamanlama saldırısına maruz kalmaktadır. Bu durum, kullanıcı tarafından API erişimi için oluşturulan bir erişim belirtecini tahmin etmek amacıyla, GoCD sunucu API çağrıları üzerinde doğrulamalardaki zamanlama farklarını gözlemleyen bir kaba kuvvet saldırısına izin verebilir. Bu sorun GoCD sürüm 19.11.0'da düzeltilmiştir. Geçici bir çözüm olarak kullanıcılar, ters proxy veya diğer ön uç web sunucuları aracılığıyla GoCD Sunucusuna yapılan API çağrılarına hız sınırlaması uygulayabilir veya rastgele gecikmeler ekleyebilirler. Bir diğer geçici çözüm olarak kullanıcılar, bir yöneticinin "Access Token Management" yönetim işlevi üzerinden tüm erişim belirteçlerini iptal etmesini sağlayarak kullanıcıların erişim belirteci kullanımını engelleyebilirler.