In Octopus Deploy 3.x before 3.15.4, an authenticated user with PackagePush permission to upload packages could upload a maliciously crafted

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• octopus octopus deploy3.6.0
• octopus octopus deploy3.7.0
• octopus octopus server3.0.0
• octopus octopus server3.0.1
• octopus octopus server3.0.10
• octopus octopus server3.0.11
• octopus octopus server3.0.12
• octopus octopus server3.0.13
• octopus octopus server3.0.14
• octopus octopus server3.0.15
• octopus octopus server3.0.16
• octopus octopus server3.0.17
• octopus octopus server3.0.18
• octopus octopus server3.0.19
• octopus octopus server3.0.2
• octopus octopus server3.0.20
• octopus octopus server3.0.21
• octopus octopus server3.0.22
• octopus octopus server3.0.23
• octopus octopus server3.0.24

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2020-10678In Octopus Deploy before 2020.1.5, for customers running on-premises Active Directory linked to their Octopus server, an authenticated user
  35Наблюдать
• CVE-2018-5706An issue was discovered in Octopus Deploy before 4.1.9.
  35Наблюдать
• CVE-2018-4862In Octopus Deploy versions 3.2.11 - 4.1.5 (fixed in 4.1.6), an authenticated user with ProcessEdit permission could reference an Azure accou
  35Наблюдать
• CVE-2017-17665In Octopus Deploy before 4.1.3, the machine update process doesn't check that the user has access to all environments.
  35Наблюдать
• CVE-2019-11632In Octopus Deploy 2019.1.0 through 2019.3.1 and 2019.4.0 through 2019.4.5, an authenticated user with the VariableViewUnscoped or VariableEd
  32Наблюдать
• CVE-2021-26556When Octopus Server is installed using a custom folder location, folder ACLs are not set correctly and could lead to an unprivileged user us
  31Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Имя файла, переданное пользователем, объединяется с разрешённым каталогом, но не проверяется, остаётся ли результат внутри этого каталога.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const file = path.join(ROOT, req.query.name);2res.sendFile(file);

1const file = path.resolve(ROOT, req.query.name);2if (!file.startsWith(ROOT + path.sep)) {3  return res.sendStatus(400);4}5res.sendFile(file);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.