CVE-2022-39304

Versões 1 a 1 do ghinstallation

A versão 2.0.0 do ghinstallation não é afetada, pois contém a correção para o problema.

O problema diz respeito ao ghinstallation, que fornece um protocolo de transporte implementando o http.RoundTripper para autenticação como uma instalação do GitHub App. Quando a solicitação para atualizar um token de instalação falhava na versão 1, a solicitação e a resposta HTTP eram retornadas para depuração, contendo o JWT bearer do aplicativo. Esse token, embora tivesse vida curta, com no máximo 10 minutos, poderia ser retornado aos clientes. Não há informações disponíveis sobre o número estimado de dispositivos potencialmente afetados ou incidentes reais em que esse problema tenha sido explorado.

Para as versões 1 do ghinstallation, atualize para a versão 2.0.0 para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso ao ghinstallation.Transport para minimizar o risco de exploração até que um patch seja aplicado.

Evite expor erros retornados pelo ghinstallation.Transport a partes não confiáveis para impedir a possível extração e uso indevido do JWT.