In affected versions of Octopus Deploy it is possible to perform a Regex Denial of Service using the Variable Project Template.

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• octopus octopus server0.9 и новее · до 0.9.620.4 включительно
• octopus octopus server1.0 и новее · до 1.6.3.1723 включительно
• octopus octopus server2.0 и новее · до 2.6.5 включительно
• octopus octopus server3.0.0 и новее · до 3.17.14 включительно
• octopus octopus server4.0.4 и новее · до 4.1.10 включительно
• octopus octopus server2018.1.0 и новее · до 2018.12.1 включительно
• octopus octopus server2019.1.0 и новее · до 2019.13.7 включительно
• octopus octopus server2020.1.0 и новее · до 2020.6.5449 включительно
• octopus octopus server2021.1.6959 и новее · до 2021.3.13021 включительно
• octopus octopus server2022.1.0 и новее · до 2022.1.2894
• octopus octopus server2022.2.6729 и новее · до 2022.2.6872
• octopus octopus server2022.3.348 и новее · до 2022.3.4953

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (Octopus). Не зависят от анализа CPE в NVD и обычно опережают его.

• Octopus Deploy Octopus Server

  • 0.9 и новее · до unspecifiedзатронута
  • unspecified и новее · до 2022.1.2894затронута
  • 2022.2.6729 и новее · до unspecifiedзатронута
  • unspecified и новее · до 2022.2.6872затронута
  • 2022.3.348 и новее · до unspecifiedзатронута
  • unspecified и новее · до 2022.3.4953затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2022-2572In affected versions of Octopus Server where access is managed by an external authentication provider, it was possible that the API key/keys
  39Наблюдать
• CVE-2022-2778In affected versions of Octopus Deploy it is possible to bypass rate limiting on login using null bytes.
  39Наблюдать
• CVE-2018-18850In Octopus Deploy 2018.8.0 through 2018.9.x before 2018.9.1, an authenticated user with permission to modify deployment processes could uplo
  39Наблюдать
• CVE-2018-11320In Octopus Deploy 2018.4.4 through 2018.5.1, Octopus variables that are sourced from the target do not have sensitive values obfuscated in t
  39Наблюдать
• CVE-2022-2782In affected versions of Octopus Server it is possible for a session token to be valid indefinitely due to improper validation of the session
  36Наблюдать
• CVE-2022-4009In affected versions of Octopus Deploy it is possible for a user to introduce code via offline package creation
  35Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.