PT-2021-7235 · Gitlab · Gitlab Runner+1

CVE-2021-39947

·

Publicado

2021-08-23

·

Atualizado

2023-08-08

CVSS v2.0

7.8

Alta

VetorAV:N/AC:L/Au:N/C:C/I:N/A:N
Nome do software vulnerável e versões afetadas
Versões do GitLab Runner até a 14.3.4
Versões do GitLab Runner de 14.4 a 14.4.2
Versões do GitLab Runner de 14.5 a 14.5.2
Descrição
O problema está relacionado à divulgação de informações no GitLab Runner. Em circunstâncias específicas, os buffers de arquivos de rastreamento reutilizariam o descritor de arquivo 0 para vários rastreamentos e misturariam a saída de várias tarefas, permitindo potencialmente que um invasor remoto divulgasse informações protegidas.
Recomendações
Para versões do GitLab Runner até a 14.3.4, atualize para uma versão posterior à 14.3.4 para resolver o problema.
Para as versões do GitLab Runner de 14.4 a 14.4.2, atualize para uma versão posterior à 14.4.2 para resolver o problema.
Para as versões do GitLab Runner de 14.5 a 14.5.2, atualize para uma versão posterior à 14.5.2 para resolver o problema.
Como solução alternativa temporária, considere restringir o acesso aos buffers de arquivos de rastreamento para minimizar o risco de exploração.

Correção

Information Disclosure

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BDU:2022-03957
CVE-2021-39947

Produtos afetados

Gitlab
Gitlab Runner