CVE-2022-39206 in Onedev
Zusammenfassung
von VulDB • 29.08.2026
Onedev ist ein quelloffener, selbst gehosteter Git-Server mit CI/CD und Kanban-Funktionalität. Bei der Verwendung von Docker-basierten Job-Ausführern wird die Docker-Socket (z. B. /var/run/docker.sock unter Linux) in jeden Docker-Schritt eingebunden. Benutzer, die CI/CD-Jobs für ein Projekt definieren und auslösen können, könnten dies nutzen, um den Docker-Dämon auf dem Host-System zu steuern. Dies ist ein bekanntes gefährliches Muster, da es genutzt werden kann, um aus Docker-Containern auszubrechen und in den meisten Fällen Root-Berechtigungen auf dem Host-System zu erlangen. Dieses Problem ermöglicht regulären (nicht-administrativen) Benutzern potenziell die Übernahme der Build-Infrastruktur einer OneDev-Instanz. Angreifer benötigen ein Konto (oder müssen eines registrieren können) und Berechtigungen zum Erstellen eines Projekts. Da code.onedev.io die richtigen Voraussetzungen für eine Ausnutzung durch Remote-Angriffe bietet, könnte es genutzt worden sein, um Builds von OneDev selbst zu übernehmen, z. B. durch das Einschleusen von Malware in Docker-Images, die erstellt und auf Docker Hub gepusht werden. Die Auswirkungen sind wie zuvor beschrieben verstärkt. Benutzern wird empfohlen, auf Version 7.3.0 oder höher zu aktualisieren. Es sind keine bekannten Workarounds für dieses Problem verfügbar.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.