GoCD hasta 24.4.0 Configuration XML UI escalada de privilegios

CVSS Puntuación meta temporalPrecio actual del exploit (≈)Puntuación de interés CTI
8.6$0-$5k0.00

Resumeninformación

Se ha detectado una vulnerabilidad clasificada como crítica en GoCD hasta 24.4.0. Está afectada una función desconocida en el componente Configuration XML UI. Mediante la manipulación de un input desconocido se causa una vulnerabilidad de clase escalada de privilegios. La vulnerabilidad es identificada como CVE-2024-56320. Es posible lanzar el ataque de forma remota. Ningún exploit está disponible. El mejor modo sugerido para mitigar el problema es actualizar a la última versión.

Detallesinformación

Una vulnerabilidad ha sido encontrada en GoCD hasta 24.4.0 y clasificada como crítica. Una función desconocida del componente Configuration XML UI es afectada por esta vulnerabilidad. A través de la manipulación de un input desconocido se causa una vulnerabilidad de clase escalada de privilegios. Esto tiene repercusión sobre la confidencialidad, integridad y disponibilidad. CVE resume:

GoCD es un servidor de entrega continua. Las versiones de GoCD anteriores a la 24.5.0 son vulnerables a la escalada de privilegios de administrador debido a la autorización incorrecta del acceso a la función de interfaz de usuario "XML de configuración" del administrador y su API asociada. Un usuario interno malintencionado o un usuario autenticado existente de GoCD con una cuenta de usuario de GoCD existente podría aprovechar esta vulnerabilidad para acceder a información destinada únicamente a los administradores de GoCD o para escalar sus privilegios a los de un administrador de GoCD de manera persistente. No es posible que se abuse de esta vulnerabilidad antes de la autenticación o el inicio de sesión. El problema se solucionó en GoCD 24.5.0. Los usuarios de GoCD que no pueden realizar una actualización inmediata pueden mitigar este problema utilizando un proxy inverso, WAF o similar para bloquear externamente las rutas de acceso con un prefijo `/go/rails/`. El bloqueo de esta ruta no provoca ninguna pérdida de funcionalidad. Si no es posible actualizar o bloquear la ruta anterior, considere reducir la base de usuarios de GoCD a un conjunto de usuarios más confiable, incluida la desactivación temporal del uso de complementos como el complemento de inicio de sesión de invitado, que permite un acceso anónimo limitado como una cuenta de usuario normal.

El advisory puede ser descargado de github.com. La vulnerabilidad es identificada como CVE-2024-56320. Es fácil de explotar. El ataque puede ser realizado a través de la red. No se conoce los detalles técnicos ni hay ningún exploit disponible.

Una actualización a la versión 24.5.0 elimina esta vulnerabilidad.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

Productoinformación

Nombre

Versión

Sitio web

CPE 2.3información

CPE 2.2información

CVSSv4información

VulDB Vector: 🔍
VulDB Confiabilidad: 🔍

CNA CVSS-B Score: 🔍
CNA CVSS-BT Score: 🔍
CNA Vector: 🔍

CVSSv3información

VulDB Puntuación meta base: 8.8
VulDB Puntuación meta temporal: 8.6

VulDB Puntuación base: 8.8
VulDB Puntuación temporal: 8.4
VulDB Vector: 🔍
VulDB Confiabilidad: 🔍

NVD Puntuación base: 8.8
NVD Vector: 🔍

CVSSv2información

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VectorComplejidadAutenticaciónConfidencialidadIntegridadDisponibilidad
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear

VulDB Puntuación base: 🔍
VulDB Puntuación temporal: 🔍
VulDB Confiabilidad: 🔍

Explotacióninformación

Clase: Escalada de privilegios
CWE: CWE-285 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍

Físico: No
Local: No
Remoto: Sí

Disponibilidad: 🔍
Estado: No está definido

EPSS Score: 🔍
EPSS Percentile: 🔍

Predicción de precios: 🔍
Estimación del precio actual: 🔍

0-DayDesbloquearDesbloquearDesbloquearDesbloquear
HoyDesbloquearDesbloquearDesbloquearDesbloquear

Inteligencia de amenazasinformación

Interés: 🔍
Actores activos: 🔍
Grupos APT activos: 🔍

Contramedidasinformación

Recomendación: Actualización
Estado: 🔍

Hora de 0 días: 🔍

Actualización: GoCD 24.5.0

Línea de tiempoinformación

2024-12-19 🔍
2025-01-03 +15 días 🔍
2025-01-03 +0 días 🔍
2025-08-01 +210 días 🔍

Fuentesinformación

Producto: github.com

Aviso: github.com
Estado: Confirmado

CVE: CVE-2024-56320 (🔍)
GCVE (CVE): GCVE-0-2024-56320
GCVE (VulDB): GCVE-100-290154

Artículoinformación

Fecha de creación: 2025-01-03 17:10
Actualizado: 2025-08-01 23:40
Cambios: 2025-01-03 17:10 (66), 2025-08-01 23:40 (11)
Completo: 🔍
Cache ID: 216::103

If you want to get best quality of vulnerability data, you may have to visit VulDB.

Discusión

Sin comentarios aún. Idiomas: es + pt + en.

Por favor, inicie sesión para comentar.

◂ AnteriorVisión De ConjuntoPróximo ▸

Do you need the next level of professionalism?

Upgrade your account now!