CVE-2022-41942

Versões do Sourcegraph anteriores à 4.1.0

O problema é uma vulnerabilidade de injeção de comando no serviço gitserver, presente em todas as implantações do Sourcegraph. Essa vulnerabilidade foi causada pela falta de validação de entrada no parâmetro host do endpoint “/list-gitolite”. Era possível enviar uma solicitação maliciosa ao gitserver que executaria comandos dentro do contêiner. A exploração bem-sucedida requer a capacidade de enviar solicitações locais ao gitserver.

Para versões anteriores à 4.1.0, atualize para a versão 4.1.0 para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint “/list-gitolite” para minimizar o risco de exploração. Evite usar o parâmetro host no endpoint afetado até que o problema seja resolvido.