CVE-2021-21244

Pre-auth Server Side Template Injection w OneDev (przed 4.0.3)

CVSS 10.0v3.1pub. 2021-01-15upd. 2024-11-21

OneDev przed wersją 4.0.3 zawiera krytyczną podatność typu Server Side Template Injection (SSTI), którą można wykorzystać bez uwierzytelnienia poprzez manipulację komunikatami walidacji Bean. Maksymalny wynik CVSS 10.0 wskazuje na pełne zagrożenie dla integralności i poufności systemu.

▸ Pokaż oryginał (EN)

OneDev is an all-in-one devops platform. In OneDev before version 4.0.3, There is a vulnerability that enabled pre-auth server side template injection via Bean validation message tampering. Full details in the reference GHSA. This issue was fixed in 4.0.3 by disabling validation interpolation completely.

🤖 Analiza AI

Jak działa

Podatność wynika z możliwości wstrzyknięcia złośliwego kodu szablonu (template injection) poprzez spreparowane komunikaty walidacji Bean (Bean validation messages). Atakujący bez żadnego uwierzytelnienia może dostarczyć specjalnie spreparowane dane wejściowe, które są następnie przetwarzane przez silnik szablonów po stronie serwera. Pozwala to na wykonanie dowolnego kodu w kontekście aplikacji. Problem został naprawiony w wersji 4.0.3 poprzez całkowite wyłączenie interpolacji walidacji (validation interpolation).

Skutki

Atakujący nieuwierzytelniony zdalnie może uzyskać pełną kontrolę nad serwerem — odczytywać lub modyfikować poufne dane oraz wykonywać dowolny kod po stronie serwera, co może prowadzić do całkowitego przejęcia systemu.

Mitygacja

Należy zaktualizować OneDev do wersji 4.0.3 lub nowszej, w której wyłączono interpolację walidacji (validation interpolation). Szczegóły poprawki dostępne są w oficjalnym security advisory producenta (GHSA-vm26-xg39-cfj4).