CVE-2022-29171

Versões do Sourcegraph anteriores à 3.38.0

A vulnerabilidade diz respeito à execução remota de código no serviço gitserver do Sourcegraph, um mecanismo rápido e rico em recursos para pesquisa e navegação de código. A integração do host de código Gitolite com o Phabricator permite que os administradores do site Sourcegraph especifiquem um callsignCommand, que pode ser alterado arbitrariamente e executado remotamente por um administrador com privilégios de administrador do site e acesso administrativo à instância do Grafana incluída no pacote. Isso concede acesso direto à infraestrutura subjacente à instalação do Sourcegraph. O ataque requer privilégios de administrador do site na instância do Sourcegraph, privilégios administrativos na instância de monitoramento do Grafana incluída e conhecimento do endereço IP ou nome DNS do gitserver.

Para versões anteriores à 3.38.0, atualize para a versão 3.38.0 para resolver o problema.

Como solução alternativa temporária, considere desativar os hosts de código Gitolite até que o problema seja resolvido.