CVE-2022-39206 in Onedev
Сводка
по VulDB • 29.08.2026
Onedev — это сервер Git с открытым исходным кодом, размещаемый на собственных инфраструктурах (self-hosted), поддерживающий CI/CD и Kanban-доски. При использовании исполнителей задач на базе Docker сокет Docker (например, /var/run/docker.sock в Linux) монтируется в каждый шаг выполнения задачи в контейнере Docker. Пользователи, которые могут определять и запускать задачи CI/CD для проекта, могут использовать это для управления демоном Docker на хост-машине. Это известный опасный паттерн, так как он может быть использован для выхода из контейнеров Docker и, в большинстве случаев, получения прав root на хостовой системе. Эта уязвимость позволяет обычным (не административным) пользователям потенциально захватить контроль над инфраструктурой сборки экземпляра OneDev. Атакующим необходимо иметь учетную запись (или возможность ее регистрации), а также разрешение на создание проекта. Поскольку сайт code.onedev.io имеет необходимые предпосылки для эксплуатации данной уязвимости удаленными злоумышленниками, она могла быть использована для захвата контроля над сборками самого OneDev, например, путем внедрения вредоносного ПО в образы Docker, которые собираются и отправляются на Docker Hub. Это усиливает воздействие описанной выше уязвимости. Пользователям рекомендуется обновиться до версии 7.3.0 или более поздней. Известных обходных путей (workarounds) для данной проблемы нет.
If you want to get best quality of vulnerability data, you may have to visit VulDB.