CVE-2022-45132

Versões da Linaro Automated Validation Architecture (LAVA) anteriores à 2022.11.1

A vulnerabilidade permite a execução remota de código por meio de modelos Jinja2 enviados pelo usuário. Especificamente, o endpoint da API REST para validação de arquivos de configuração de dispositivos no lava-server carrega a entrada como um modelo Jinja2, o que pode ser explorado para acionar a execução remota de código no servidor LAVA.

Para versões anteriores à 2022.11.1, atualize para a versão 2022.11.1 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao endpoint da API REST responsável pela validação dos arquivos de configuração do dispositivo no lava-server até que a atualização seja aplicada.