Quatre failles de s\u00e9curit\u00e9 non corrig\u00e9es, dont trois critiques, ont \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9es dans le Gogs<\/a> Service Git open source et auto-h\u00e9berg\u00e9 qui pourrait permettre \u00e0 un attaquant authentifi\u00e9 de p\u00e9n\u00e9trer dans des instances sensibles, de voler ou d’effacer le code source et m\u00eame d’installer des portes d\u00e9rob\u00e9es.<\/p>\n Les vuln\u00e9rabilit\u00e9s, selon les chercheurs de SonarSource Thomas Chauchefoin et Paul Gerste, sont r\u00e9pertori\u00e9es ci-dessous :<\/p>\n L\u2019exploitation r\u00e9ussie des trois premi\u00e8res failles pourrait permettre \u00e0 un attaquant d\u2019ex\u00e9cuter des commandes arbitraires sur le serveur Gogs, tandis que la quatri\u00e8me faille permet aux attaquants de lire des fichiers arbitraires tels que le code source et les secrets de configuration.<\/p>\n En d\u2019autres termes, en abusant des probl\u00e8mes, un acteur de menace pourrait lire le code source de l\u2019instance, modifier n\u2019importe quel code, supprimer tout le code, cibler les h\u00f4tes internes accessibles depuis le serveur Gogs et se faire passer pour d\u2019autres utilisateurs et obtenir plus de privil\u00e8ges.<\/p>\n Cela \u00e9tant dit, les quatre vuln\u00e9rabilit\u00e9s n\u00e9cessitent que l’attaquant soit authentifi\u00e9. De plus, le d\u00e9clenchement de la vuln\u00e9rabilit\u00e9 CVE-2024-39930 n\u00e9cessite que le serveur SSH int\u00e9gr\u00e9 soit activ\u00e9, que la version du binaire env soit utilis\u00e9e et que l’acteur de la menace soit en possession d’une cl\u00e9 priv\u00e9e SSH valide.<\/p>\n \u00ab Si l’instance Gogs a l’enregistrement activ\u00e9, l’attaquant peut simplement cr\u00e9er un compte et enregistrer sa cl\u00e9 SSH \u00bb, ont d\u00e9clar\u00e9 les chercheurs. dit<\/a>\u00ab\u00a0Sinon, ils devraient compromettre un autre compte ou voler la cl\u00e9 priv\u00e9e SSH d’un utilisateur.\u00a0\u00bb<\/p>\n Les instances Gogs ex\u00e9cut\u00e9es sous Windows ne sont pas exploitables, tout comme l’image Docker. Cependant, celles ex\u00e9cut\u00e9es sous Debian et Ubuntu sont vuln\u00e9rables en raison du fait que le binaire env prend en charge l’option \u00ab –split-string \u00bb.<\/p>\n Selon les donn\u00e9es disponibles sur Shodan, environ 7 300 instances Gogs sont accessibles au public sur Internet, dont pr\u00e8s de 60 % sont situ\u00e9es en Chine, suivies des \u00c9tats-Unis, de l’Allemagne, de la Russie et de Hong Kong.<\/p>\n On ne sait pas encore exactement combien de ces serveurs expos\u00e9s sont vuln\u00e9rables aux failles susmentionn\u00e9es. SonarSource a d\u00e9clar\u00e9 ne pas avoir la moindre id\u00e9e si ces probl\u00e8mes sont exploit\u00e9s dans la nature.<\/p>\n L’entreprise suisse de cybers\u00e9curit\u00e9 a \u00e9galement soulign\u00e9 que les responsables du projet \u00ab n’ont pas mis en \u0153uvre de correctifs et ont cess\u00e9 de communiquer \u00bb apr\u00e8s avoir accept\u00e9 son rapport initial le 28 avril 2023.<\/p>\n En l’absence de mise \u00e0 jour, il est recommand\u00e9 aux utilisateurs de d\u00e9sactiver le serveur SSH int\u00e9gr\u00e9, de d\u00e9sactiver l’enregistrement des utilisateurs pour \u00e9viter une exploitation massive et d’envisager de passer \u00e0 Gitea. SonarSource a \u00e9galement a publi\u00e9 un patch<\/a> que les utilisateurs peuvent appliquer, mais il a \u00e9t\u00e9 not\u00e9 qu’il n’a pas \u00e9t\u00e9 test\u00e9 de mani\u00e8re approfondie.<\/p>\n Cette r\u00e9v\u00e9lation intervient alors que la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 cloud Aqua a d\u00e9couvert que des informations sensibles telles que les jetons d’acc\u00e8s et les mots de passe, une fois cod\u00e9es en dur, pouvaient rester expos\u00e9es en permanence m\u00eame apr\u00e8s leur suppression des syst\u00e8mes de gestion de code source (SCM) bas\u00e9s sur Git.<\/p>\n Surnomm\u00e9s \u00ab secrets fant\u00f4mes \u00bb, le probl\u00e8me vient du fait qu’ils ne peuvent \u00eatre d\u00e9couverts par aucune des m\u00e9thodes d’analyse conventionnelles – dont la plupart recherchent des secrets \u00e0 l’aide de la commande \u00ab git clone \u00bb – et que certains secrets ne sont accessibles que via \u00ab git clone –mirror \u00bb ou des vues en cache des plates-formes SCM, mettant en \u00e9vidence les angles morts que ces outils d’analyse peuvent manquer.<\/p>\n \u00ab Les commits restent accessibles via des \u00ab vues de cache \u00bb sur le SCM \u00bb, expliquent les chercheurs en s\u00e9curit\u00e9 Yakir Kadkoda et Ilay Goldman dit<\/a>\u00ab Essentiellement, le SCM enregistre le contenu du commit pour toujours. \u00bb<\/p>\n \u00ab Cela signifie que m\u00eame si un secret contenant un commit est supprim\u00e9 des versions clon\u00e9es et mises en miroir de votre r\u00e9f\u00e9rentiel, il est toujours accessible si quelqu’un conna\u00eet le hachage du commit. Il peut r\u00e9cup\u00e9rer le contenu du commit via l’interface graphique de la plateforme SCM et acc\u00e9der au secret divulgu\u00e9. \u00bb<\/p>\n <\/p>\n\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/Des-failles-critiques-non-corrigees-ont-ete-revelees-dans-le.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n