Podatności Renovate

Renovate w wersjach od 39.53.0 do przed 40.33.0 zawiera podatność na wstrzykiwanie poleceń w menedżerze gleam, gdzie parametr depName jest dołączany do poleceń aktualizacji gleam bez odpowiedniej sanityzacji. Atakujący z prawem zapisu do repozytorium mogą stworzyć złośliwe pliki gleam.toml, aby wykonać dowolne polecenia na maszynie uruchamiającej Renovate.

Renovate w wersjach >=32.124.0 i przed 42.68.5 (oraz Mend renovate-ce/renovate-ee przed 13.3.0) zawiera podatność na wstrzyknięcie poleceń w obsłudze artefaktów Gradle Wrapper. Podczas przetwarzania aktualizacji Gradle Wrapper, Renovate wywołuje polecenie aktualizacji przez powłokę (np. /bin/sh -c ... ./gradlew :wrapper --gradle-distribution-url <wartość>). Jeśli atakujący dostarczy złośliwy plik gradle-wrapper.properties, którego distributionUrl zawiera składnię podstawiania poleceń, taką jak $(...), powłoka wykonuje ją przed przetworzeniem URL przez Gradle, co prowadzi do wykonania dowolnych poleceń w środowisku Renovate. Eksploatacja wymaga wprowadzenia złośliwego pliku do repozytorium skanowanego przez Renovate; problem występuje nawet gdy allowScripts jest wyłączone.

Renovate w wersjach od 19.180.0 do przed 23.25.1, używany z Azure DevOps, może ujawniać token autoryzacyjny bota w logach serwera lub potoku, ponieważ parametr git http.extraheader=AUTHORIZATION jest logowany bez maskowania. Osoby z dostępem do zapisanych logów mogą uzyskać poświadczenia bota. Poprawka w wersji 23.25.1.

Renovate w wersjach od 31.51.0 do przed 40.33.0 zawiera podatność na wstrzykiwanie poleceń w menedżerze helmv3, gdzie parametr repository jest dołączany do poleceń logowania do rejestru helm bez odpowiedniej sanityzacji. Atakujący z prawem zapisu do repozytorium mogą stworzyć złośliwe pliki Chart.yaml, aby wykonać dowolne polecenia na maszynie uruchamiającej Renovate.

Renovate w wersjach od 32.135.0 do przed 40.33.0 zawiera podatność na wstrzykiwanie poleceń w menedżerze hermit, gdzie nazwy zależności dostarczane przez użytkownika są dołączane do poleceń instalacji i deinstalacji bez odpowiedniej sanityzacji. Atakujący z prawem zapisu do repozytorium mogą dostarczyć złośliwie nazwane zależności hermit, aby wykonać dowolne polecenia na maszynie uruchamiającej Renovate.

Renovate w wersjach od 35.63.0 do przed 40.33.0 zawiera podatność na wstrzyknięcie poleceń w menedżerze npm, gdzie wartości packageName dostarczane przez użytkownika są dołączane do poleceń npm install bez odpowiedniej sanityzacji. Atakujący z prawem zapisu do repozytorium mogą stworzyć złośliwe pliki konfiguracyjne Renovate, aby wykonać dowolne polecenia na maszynie uruchamiającej Renovate.

Renovate w wersjach od 39.218.0 do przed 40.33.0 zawiera podatność na dowolne wstrzyknięcie poleceń w menedżerze kustomize, gdzie nazwy chartów dostarczane przez użytkownika są dołączane do poleceń helm pull bez odpowiedniej sanityzacji. Atakujący z prawem zapisu do repozytorium mogą stworzyć złośliwe pliki kustomization.yaml ze specjalnie spreparowanymi nazwami chartów, aby wykonać dowolne polecenia na maszynie hostującej Renovate.

Renovate w wersjach od 42.68.1 przed 42.96.3 (oraz od 42.68.1 przed 43.4.4), w tym odpowiadające obrazy Docker (renovate/renovate, mend/renovate-ce, renovate-ee-server, renovate-ee-worker >=13.3.0 <13.6.0), nie ograniczają zmiennych środowiskowych do listy dozwolonych podczas uruchamiania procesów potomnych. W rezultacie procesy potomne (np. npm install, postUpgradeTasks, postUpdateOptions) uzyskują pełny dostęp do wszystkich zmiennych środowiskowych procesu Renovate, co pozwala atakującym wewnętrznym lub zewnętrznym na eksfiltrację sekretów dostępnych dla wdrożenia Renovate.

Renovate w wersjach od 43.65.0 przed 43.102.11 zawiera podatność na zdalne wykonanie kodu w menedżerach bazel-module i bazelisk podczas korzystania z lockFileMaintenance. Atakujący mogą wykonać dowolny kod, dostarczając złośliwe zależności, które są przywoływane w wywołaniach bazel mod deps, takich jak wewnątrz instrukcji ctx.execute.

Renovate w wersjach od 37.158.0 do przed 37.199.0 zawiera podatność na wstrzykiwanie poleceń w menedżerze helmv3 podczas obsługi registryAliases. Atakujący z dostępem do commitów może manipulować kluczami registryAliases, aby wykonać dowolne polecenia podczas operacji helm repo add, uzyskując pełny dostęp do środowiska wykonawczego Renovate.

Renovate w wersjach od 13.87.0 do 19.38.6 wycieka tymczasowe tokeny repozytorium do komentarzy w pull requestach podczas niektórych scenariuszy błędów aktualizacji modułów Go. Problem naprawiono w wersji 19.38.7. Osoby mogące przeglądać komentarze mogą uzyskać ujawnione tokeny.