CVE-2020-1693

Versões do Spacewalk até a 2.9

Uma falha no Spacewalk permite ataques de entidade interna XML por meio do endpoint “/rpc/api”. Isso poderia permitir que um invasor remoto não autenticado recuperasse determinados conteúdos de arquivos, provocasse uma negação de serviço ou, potencialmente, executasse código arbitrário no servidor Spacewalk. O problema está relacionado à restrição incorreta de links XML para objetos externos, o que pode ser explorado por um invasor remoto para divulgar informações protegidas, causar uma negação de serviço ou executar código arbitrário.

Para versões do Spacewalk até a 2.9, como solução temporária, considere restringir o acesso ao endpoint “/rpc/api” até que um patch esteja disponível. Evite usar esse endpoint para operações confidenciais até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.