Podatności Renovate

Renovate przed wersją 44.14.7 zawiera podatność command injection w menedżerze Maven Wrapper, która pozwala atakującym na wykonanie dowolnych poleceń poprzez podanie złośliwego parametru distributionType w pliku maven-wrapper.properties. Atakujący mogą wstrzyknąć polecenia powłoki poprzez nieescapowane wartości distributionType, aby uzyskać zdalne wykonanie kodu, gdy Renovate przetwarza aktualizacje Maven Wrapper w trybie binarySource=docker.

Renovate przed wersją 44.14.7 zawiera podatność command injection w menedżerze Mix podczas przetwarzania prywatnych zależności z nieescapowanymi parametrami organizacji. Atakujący mogą wstrzyknąć metaznaki powłoki poprzez złośliwe nazwy pakietów, aby wykonać dowolne polecenia jako użytkownik Renovate w trybie binarySource=docker.

Renovate to narzędzie do automatyzacji aktualizacji zależności. Podczas listowania tagów/digestów dla obrazu kontenera Renovate podąża za linkami paginacji dostarczonymi przez zdalny rejestr w nagłówku HTTP Link i dołącza poświadczenia rejestru do żądania follow-up bez weryfikacji, czy URL paginacji ma to samo pochodzenie co oryginalny rejestr. Złośliwy lub przejęty rejestr kontenerów może zatem wskazać nagłówek Link na host kontrolowany przez atakującego i otrzymać poświadczenia Renovate używane dla tego rejestru. Wykorzystanie wymaga, aby cel miał zależności kontenerowe (Docker) i już wchodził w interakcję ze złośliwym lub przejętym rejestrem. Naprawiono w Renovate 44.11.2 (obrazy npm i renovate/renovate), Mend Renovate CE/EE 15.4.0 oraz mend-renovate-enterprise-edition Helm chart 10.4.0; sprawdzenie tego samego pochodzenia można wyłączyć za pomocą RENOVATE_X_DOCKER_PAGINATION_ALLOW_CROSS_ORIGIN.

Renovate w wersjach przed 44.3.1 (oraz obrazy Mend Renovate CE/EE przed 15.4.0, helm chart mend-renovate-ce przed 15.4.0 i mend-renovate-enterprise-edition przed 10.4.0) nie stosuje wewnętrznego sprawdzania minimalnego wieku wydania (minimumReleaseAge) do aktualizacji typu digest. Gdy repozytorium ma skonfigurowane minimumReleaseAge i zależności z updateType=digest (np. GitHub Actions przypięte do SHA, obrazy Docker, moduły Go, pakiety NuGet), Renovate nadal otwiera pull request dla nowo opublikowanego digestu, oznaczając go jedynie statusem renovate/stability-days.

Renovate to narzędzie do automatycznej aktualizacji zależności. W wersjach przed 44.14.4 (oraz obrazach Mend Renovate CE/EE przed 15.4.0 i mend-renovate-enterprise-edition Helm chart przed 10.4.0) sanityzacja logów dla kluczy prywatnych TLS używanych do Mutual TLS była niekompletna. Chociaż wartość hostRules[].httpsPrivateKey była redagowana w samym polu, ta sama wartość klucza prywatnego nie była redagowana, jeśli pojawiła się gdzie indziej — na przykład w innej opcji konfiguracyjnej lub w komunikacie logu pod kluczem innym niż httpsPrivateKey — powodując zapisanie pełnego klucza prywatnego do logów Renovate w postaci jawnej. Dotyczy to wdrożeń konfigurujących Mutual TLS przez hostRules[].httpsPrivateKey bez przekazywania wartości przez udokumentowaną konfigurację `secrets`. Każdy, kto może odczytać wynikowe logi, może odzyskać klucz prywatny. Problem naprawiono w Renovate 44.14.4, który redaguje każdą wartość dostarczoną jako hostRules[].httpsPrivateKey wszędzie tam, gdzie pojawia się w logach; jako obejście należy dostarczyć klucz przez konfigurację `secrets`.

Renovate to narzędzie do automatyzacji aktualizacji zależności. W wersjach przed 44.11.2 (oraz obrazach i chartach Mend Renovate CE/EE przed 15.4.0 i mend-renovate-enterprise-edition helm chart przed 10.4.0), podczas listowania nowych wersji pakietów z rejestru NuGet Renovate podąża za URL-ami paginacji dostarczonymi przez rejestr w nagłówku HTTP `Link` bez weryfikacji, czy cel ma to samo pochodzenie co skonfigurowany rejestr. Poświadczenia rejestru są dołączane do żądania dla strony 'next', więc złośliwy lub przejęty rejestr NuGet może zwrócić nagłówek `Link` wskazujący na serwer kontrolowany przez atakującego i spowodować wysłanie poświadczeń rejestru do tego serwera. Wykorzystanie wymaga, aby zdalny rejestr był złośliwy lub przejęty; taki rejestr normalnie już otrzymałby poświadczenia w początkowym żądaniu, więc problem głównie pozwala na dostarczenie poświadczeń do dodatkowego, wybranego przez atakującego hosta. Poprawka ogranicza paginację do tego samego pochodzenia; poprzednie zachowanie można ponownie włączyć opcją RENOVATE_X_NUGET_PAGINATION_ALLOW_CROSS_ORIGIN.

Renovate to narzędzie do automatyzacji aktualizacji zależności. W wersjach przed 44.14.7 (oraz w dystrybucjach Mend Renovate CE/EE przed 15.4.0 i mend-renovate-enterprise-edition Helm chart przed 10.4.0) moduł manager/gradle-wrapper nie escapuje wartości distributionUrl odczytanej z pliku gradle/wrapper/gradle-wrapper.properties repozytorium przed wywołaniem CLI Gradle Wrapper. W instalacjach self-hosted skonfigurowanych z binarySource=docker i allowedUnsafeExecutions=['gradleWrapper', ...], repozytorium dostarczające spreparowany distributionUrl (na przykład dodające metaznak powłoki i polecenie) może spowodować wykonanie dowolnych poleceń jako użytkownik Renovate, gdy Renovate przetwarza aktualizację Gradle Wrapper. Problem naprawiono w Renovate 44.14.7; jako obejście należy usunąć 'gradleWrapper' z allowedUnsafeExecutions.

Renovate przed wersją 44.14.7 zawiera podatność command injection w menedżerze gomod podczas przetwarzania nieescapowanych parametrów depName w poleceniach aktualizacji ścieżki importu w trybie binarySource=docker. Atakujący mogą wstrzyknąć metaznaki powłoki poprzez złośliwe nazwy zależności, aby wykonać dowolne polecenia jako użytkownik Renovate podczas aktualizacji głównych wersji modułów Go z włączoną opcją postUpdateOptions gomodUpdateImportPaths.

Renovate, narzędzie do aktualizacji zależności, podąża za linkami paginacji dostarczonymi przez serwer GitHub w nagłówku HTTP `Link` podczas interakcji z GitHub.com, GitHub Enterprise Cloud lub GitHub Enterprise Server i wysyła poświadczenia skonfigurowane dla tego hosta do URL-a podanego jako strona 'next'. Ponieważ URL paginacji nie jest walidowany względem hosta, z którym początkowo nawiązano kontakt, złośliwy lub przejęty serwer GitHub może zwrócić nagłówek `Link` wskazujący na host kontrolowany przez atakującego i spowodować ujawnienie mu tych poświadczeń. Wykorzystanie wymaga, aby serwer GitHub, z którym rozmawia Renovate (jako host repozytorium lub źródło danych takie jak github-releases, github-tags lub git-refs), był już złośliwy lub przejęty. Problem naprawiono w renovate 44.11.3 (obrazy npm i renovate/renovate), Mend Renovate CE/EE i mend-renovate-ce helm chart 15.4.0 oraz mend-renovate-enterprise-edition helm chart 10.4.0. Nie ma obejścia; istniejąca opcja RENOVATE_X_REBASE_PAGINATION_LINKS wyłącza nowe sprawdzenie hosta i powinna być używana tylko z serwerami, które celowo używają różnych hostów paginacji.

Renovate w wersjach przed 44.11.3 nie weryfikuje miejsc docelowych nagłówka Link podczas podążania za paginacją serwera GitLab. Złośliwy serwer GitLab może wskazać w nagłówku Link adres kontrolowanej przez atakującego infrastruktury, co prowadzi do przekierowania żądań zawierających poświadczenia i ich wycieku.

Renovate w wersjach od 39.53.0 do przed 40.33.0 zawiera podatność na wstrzykiwanie poleceń w menedżerze gleam, gdzie parametr depName jest dołączany do poleceń aktualizacji gleam bez odpowiedniej sanityzacji. Atakujący z prawem zapisu do repozytorium mogą stworzyć złośliwe pliki gleam.toml, aby wykonać dowolne polecenia na maszynie uruchamiającej Renovate.

Renovate w wersjach od 31.51.0 do przed 40.33.0 zawiera podatność na wstrzykiwanie poleceń w menedżerze helmv3, gdzie parametr repository jest dołączany do poleceń logowania do rejestru helm bez odpowiedniej sanityzacji. Atakujący z prawem zapisu do repozytorium mogą stworzyć złośliwe pliki Chart.yaml, aby wykonać dowolne polecenia na maszynie uruchamiającej Renovate.

Renovate w wersjach od 32.135.0 do przed 40.33.0 zawiera podatność na wstrzykiwanie poleceń w menedżerze hermit, gdzie nazwy zależności dostarczane przez użytkownika są dołączane do poleceń instalacji i deinstalacji bez odpowiedniej sanityzacji. Atakujący z prawem zapisu do repozytorium mogą dostarczyć złośliwie nazwane zależności hermit, aby wykonać dowolne polecenia na maszynie uruchamiającej Renovate.

Renovate w wersjach od 35.63.0 do przed 40.33.0 zawiera podatność na wstrzyknięcie poleceń w menedżerze npm, gdzie wartości packageName dostarczane przez użytkownika są dołączane do poleceń npm install bez odpowiedniej sanityzacji. Atakujący z prawem zapisu do repozytorium mogą stworzyć złośliwe pliki konfiguracyjne Renovate, aby wykonać dowolne polecenia na maszynie uruchamiającej Renovate.

Renovate w wersjach od 39.218.0 do przed 40.33.0 zawiera podatność na dowolne wstrzyknięcie poleceń w menedżerze kustomize, gdzie nazwy chartów dostarczane przez użytkownika są dołączane do poleceń helm pull bez odpowiedniej sanityzacji. Atakujący z prawem zapisu do repozytorium mogą stworzyć złośliwe pliki kustomization.yaml ze specjalnie spreparowanymi nazwami chartów, aby wykonać dowolne polecenia na maszynie hostującej Renovate.

Renovate w wersjach >=32.124.0 i przed 42.68.5 (oraz Mend renovate-ce/renovate-ee przed 13.3.0) zawiera podatność na wstrzyknięcie poleceń w obsłudze artefaktów Gradle Wrapper. Podczas przetwarzania aktualizacji Gradle Wrapper, Renovate wywołuje polecenie aktualizacji przez powłokę (np. /bin/sh -c ... ./gradlew :wrapper --gradle-distribution-url <wartość>). Jeśli atakujący dostarczy złośliwy plik gradle-wrapper.properties, którego distributionUrl zawiera składnię podstawiania poleceń, taką jak $(...), powłoka wykonuje ją przed przetworzeniem URL przez Gradle, co prowadzi do wykonania dowolnych poleceń w środowisku Renovate. Eksploatacja wymaga wprowadzenia złośliwego pliku do repozytorium skanowanego przez Renovate; problem występuje nawet gdy allowScripts jest wyłączone.

Renovate w wersjach od 42.68.1 przed 42.96.3 (oraz od 42.68.1 przed 43.4.4), w tym odpowiadające obrazy Docker (renovate/renovate, mend/renovate-ce, renovate-ee-server, renovate-ee-worker >=13.3.0 <13.6.0), nie ograniczają zmiennych środowiskowych do listy dozwolonych podczas uruchamiania procesów potomnych. W rezultacie procesy potomne (np. npm install, postUpgradeTasks, postUpdateOptions) uzyskują pełny dostęp do wszystkich zmiennych środowiskowych procesu Renovate, co pozwala atakującym wewnętrznym lub zewnętrznym na eksfiltrację sekretów dostępnych dla wdrożenia Renovate.

Renovate w wersjach od 43.65.0 przed 43.102.11 zawiera podatność na zdalne wykonanie kodu w menedżerach bazel-module i bazelisk podczas korzystania z lockFileMaintenance. Atakujący mogą wykonać dowolny kod, dostarczając złośliwe zależności, które są przywoływane w wywołaniach bazel mod deps, takich jak wewnątrz instrukcji ctx.execute.

Renovate w wersjach od 37.158.0 do przed 37.199.0 zawiera podatność na wstrzykiwanie poleceń w menedżerze helmv3 podczas obsługi registryAliases. Atakujący z dostępem do commitów może manipulować kluczami registryAliases, aby wykonać dowolne polecenia podczas operacji helm repo add, uzyskując pełny dostęp do środowiska wykonawczego Renovate.

Renovate w wersjach od 19.180.0 do przed 23.25.1, używany z Azure DevOps, może ujawniać token autoryzacyjny bota w logach serwera lub potoku, ponieważ parametr git http.extraheader=AUTHORIZATION jest logowany bez maskowania. Osoby z dostępem do zapisanych logów mogą uzyskać poświadczenia bota. Poprawka w wersji 23.25.1.

Renovate w wersjach od 13.87.0 do 19.38.6 wycieka tymczasowe tokeny repozytorium do komentarzy w pull requestach podczas niektórych scenariuszy błędów aktualizacji modułów Go. Problem naprawiono w wersji 19.38.7. Osoby mogące przeglądać komentarze mogą uzyskać ujawnione tokeny.