CVE-2024-56324

GoCD bir sürekli teslimat sunucusudur. 24.4.0 öncesindeki GoCD sürümleri, GoCD "group admins" kullanıcılarının yönettikleri gruplar için ham XML yapılandırmasını düzenleme yeteneğini kötüye kullanarak GoCD sunucusu üzerinde XML External Entity (XXE) enjeksiyonunu tetiklemesine izin verebilir. Teorik olarak XXE zafiyeti; SSRF, GoCD sunucusundan bilgi ifşası ve dizin gezginliği gibi ek saldırılara yol açabilir, ancak bu ek saldırıların sömürülebilir olduğu açıkça kanıtlanmamıştır. Bu sorun GoCD 24.5.0 sürümünde düzeltilmiştir. Bazı geçici çözümler mevcuttur. Eğer "group admin" kullanıcılarının boru hatlarının XML'ini doğrudan düzenleme işlevine (Kullanıcı Arayüzü veya bir yapılandırma deposu kullanmak yerine) ihtiyacı yoksa, harici bir ters proxy veya WAF üzerinden `/go/*/pipelines/snippet` rotalarına erişim geçici olarak engellenebilir. Ayrıca, herhangi bir ortam çıkış kontrolü kullanılarak GoCD sunucusunun rastgele konumlara olan harici erişimi de önlenebilir.