Vulnerabilidad en GoCD (CVE-2024-56321)

GoCD es un servidor de entrega continua. Las versiones de GoCD 18.9.0 a 24.4.0 (incluida) pueden permitir que los administradores de GoCD abusen de la función de "script posterior a la copia de seguridad" de la configuración de copia de seguridad para ejecutar potencialmente scripts arbitrarios en el servidor o contenedor de alojamiento como usuario de GoCD, en lugar de scripts preconfigurados. En la práctica, el impacto de esta vulnerabilidad es limitado, ya que en la mayoría de las configuraciones, un usuario que puede iniciar sesión en la interfaz de usuario de GoCD como administrador también tiene permisos de administración de host para el host/contenedor en el que se ejecuta GoCD, con el fin de administrar el almacenamiento de artefactos y otras opciones de configuración a nivel de servicio. Además, dado que un administrador de GoCD tiene la capacidad de configurar y programar tareas de canalización en todos los agentes de GoCD disponibles para el servidor, la funcionalidad fundamental de GoCD permite la ejecución coordinada de tareas similar a la de los scripts posteriores a la copia de seguridad. Sin embargo, en entornos restringidos donde la administración del host está separada del rol de un administrador de GoCD, esto puede ser inesperado. El problema se solucionó en GoCD 24.5.0. Los scripts posteriores a la copia de seguridad ya no se pueden ejecutar desde ciertas ubicaciones confidenciales del servidor GoCD. No se conocen workarounds.