Podatności Semaphore UI

Semaphore UI przed wersjami 2.18.17 i 2.19.5-beta2 nieprawidłowo obsługuje parametr git_url w repozytoriach, przekazując kontrolowaną przez atakującego opcję --upload-pack do CmdGitClient.GetLastRemoteCommitHash. Pozwala to menedżerowi projektu lub właścicielowi na wykonanie dowolnych poleceń systemu operacyjnego w procesie serwera Semaphore.

Semaphore UI do wersji 2.19.16 zawiera podatność zdalnego wykonania kodu, która pozwala użytkownikom z rolą task_runner nadpisać chronione zmienne Ansible poprzez dostarczenie dowolnych kluczy w JSON środowiska zadania. Atakujący mogą wysłać zadania ustawiające ansible_ssh_common_args z ProxyCommand lub ansible_connection=local, aby wykonać polecenia jako użytkownik serwera Semaphore, ujawniając klucze szyfrujące, klucze SSH i przechowywane sekrety.

Semaphore UI do wersji 2.19.12 zwalnia żądania GET i HEAD z kontroli uprawnień do zasobów projektu w GetMustCanMiddleware. Atakujący z rolami guest lub task_runner mogą odczytać wszystkie środowiska projektu, w tym hasła, poświadczenia i sekrety w postaci jawnej, poprzez żądania GET do endpointu środowiska.

Semaphore UI to interfejs webowy do zarządzania narzędziami DevOps. Przed wersją 2.18.19 oraz od 2.19.0-alpha3 do 2.19.5-beta5, ProjectMiddleware i GetProjectOrGlobalRoleBySlug pozwalają menedżerowi projektu na użycie POST /api/project/{id}/roles do utworzenia niestandardowej roli menedżera z maską bitową uprawnień 15, nadpisując wbudowane uprawnienia menedżera i przyznając możliwości właściciela CanUpdateProject i CanManageProjectUsers. Problem został naprawiony w wersjach 2.18.19 i 2.19.5-beta5.

Semaphore UI przed wersją 2.18.21 zawiera podatność na atak CSRF w punkcie końcowym /api/users/{id}/password, umożliwiającą nieuwierzytelnionemu atakującemu zmianę hasła administratora lub innego użytkownika po interakcji z ofiarą. Brak ochrony CSRF i potwierdzenia bieżącego hasła.