Plusieurs vulnérabilités critiques dans Pagure permettent l'exécution de code à distance
Des chercheurs en sécurité ont découvert plusieurs vulnérabilités critiques dans Pagure, la forge logicielle utilisée par Fedora, permettant l'exécution de code à distance (RCE). Une vulnérabilité provenait d'une injection d'argument dans la fonction PagureRepo.log(), permettant aux attaquants d'écrire dans des fichiers arbitraires et d'exécuter du code arbitraire. D'autres failles comprenaient la traversée de répertoire et la mauvaise gestion des liens symboliques. Ces vulnérabilités pouvaient être exploitées pour modifier les fichiers de spécification des paquets Fedora, introduisant potentiellement du code malveillant. Les attaquants pourraient même obtenir un contrôle total du serveur Pagure en écrasant le fichier `/srv/git/.bashrc`. Fedora a migré vers Forgejo pour résoudre ce problème, mais les vulnérabilités mettent en évidence des problèmes critiques dans la sécurité de la chaîne d'approvisionnement des logiciels open source.
Lire plus