Vulnerabilidad en Onedev (CVE-2022-39208)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

13/09/2022

Última modificación:

01/10/2022

Descripción

Onedev es un servidor Git de código abierto y auto alojado con CI/CD y Kanban. Todos los archivos en el directorio /opt/onedev/sites/ están expuestos y pueden ser leídos por usuarios no autenticados. Este directorio contiene todos los proyectos, incluyendo sus repositorios git y artefactos de construcción. Esta vulnerabilidad de divulgación de archivos puede ser usada por atacantes no autenticados para filtrar todos los archivos de cualquier proyecto. Dado que los ID de los proyectos son incrementales, un atacante podría iterar mediante ellos y filtrar todos los datos del proyecto. Este problema ha sido resuelto en versión 7.3.0 y Es recomendado a usuarios actualizar. No se presentan mitigaciones conocidas para este problema

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno