CVE-2022-39311

Versões do GoCD anteriores à 21.1.0

O GoCD é um servidor de entrega contínua que automatiza e otimiza o ciclo de compilação-teste-lançamento para a entrega contínua de um produto. A vulnerabilidade permite a execução remota de código no servidor a partir de um agente malicioso ou comprometido devido à exposição do endpoint Spring RemoteInvocation, o que possibilita a desserialização de objetos Java arbitrários. A exploração requer autenticação no nível do agente, o que significa que um invasor precisaria comprometer um agente existente, sua comunicação de rede ou registrar um novo agente para explorar essa vulnerabilidade.

Para versões anteriores à 21.1.0, atualize para a versão 21.1.0 do GoCD para resolver a vulnerabilidade. Como solução alternativa temporária, considere restringir os registros de agentes e monitorar as comunicações dos agentes para minimizar o risco de exploração. Evite usar o endpoint Spring RemoteInvocation até que a vulnerabilidade seja resolvida.