Vulnerabilidad en Onedev (CVE-2022-39206)

Onedev es un servidor Git de código abierto, auto-alojado con CI/CD y Kanban. Cuando son usados ejecutores de trabajos basados en Docker, el socket de Docker (por ejemplo, /var/run/docker.sock en Linux) es montado en cada paso de Docker. Los usuarios que pueden definir y desencadenar trabajos CI/CD en un proyecto podrían usar esto para controlar el demonio Docker en la máquina anfitriona. Este es un patrón peligroso conocido, ya que puede ser usado para salir de los contenedores Docker y, en la mayoría de los casos, conseguir privilegios de root en el sistema anfitrión. Este problema permite a usuarios normales (no administradores) tomar potencialmente el control de la infraestructura de construcción de una instancia de OneDev. Los atacantes necesitan tener una cuenta (o ser capaces de registrar una) y necesitan permiso para crear un proyecto. Dado que code.onedev.io presenta las condiciones previas apropiadas para que esto sea explotado por atacantes remotos, podría haber sido usado para secuestrar las construcciones de OneDev en sí, por ejemplo, mediante la inyección de malware en las imágenes Docker que son construidas y son empujadas a Docker Hub. El impacto es incrementado por esto como ha sido descrito anteriormente. Es recomendado a usuarios actualizar a versión 7.3.0 o superior. No se presentan mitigaciones conocidas para este problema