Eclipse Otterdogの脆弱性、設定により任意のコマンドを実行される恐れ
Summary
Eclipse Otterdogのpassおよびbitwardenの認証情報プロバイダーに、OSコマンドインジェクションの脆弱性が見つかりました。組織の設定を変更できる利用者が細工した秘密情報の参照を仕込むと、otterdog applyの実行時に、操作者の権限で任意のコマンドを実行され、認証情報の保管庫にもアクセスされるおそれがあります。影響するのは1.7.1までの版です。修正版の有無は、最新の情報を確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Eclipse Otterdogのpassおよびbitwardenの認証情報プロバイダーに、OSコマンドインジェクションの脆弱性が見つかりました。組織の設定を変更できる利用者が細工した秘密情報の参照を仕込むと、otterdog applyの実行時に、操作者の権限で任意のコマンドを実行され、認証情報の保管庫にもアクセスされるおそれがあります。影響するのは1.7.1までの版です。修正版の有無は、最新の情報を確認してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| Eclipse CSIotterdog |
0.1.0 – 1.7.1→ Not listed |
Not listed |
This record does not list fixed versions. Check the article or the vendor advisory in the references for whether and where it is fixed.
Original description The description as published by the source.
OS command injection in the pass and bitwarden credential providers in Eclipse Foundation Eclipse Otterdog through 1.7.1 allows a user able to modify an organization configuration to execute arbitrary commands with the privileges of the operator running otterdog, including access to their credential vault, via a crafted secret reference (pass: or bitwarden:@) or credential identifier that is resolved when otterdog apply is run.
Source: CVE.org (CVE Program・cvelistV5) NVD
References
- web emo@eclipse.org
- web emo@eclipse.org
- web emo@eclipse.org