BuildPiperに認可回避の脆弱性、他アプリの環境で不正なビルドやデプロイが可能に
Summary
OpsTree BuildPiperの2.7.0より前のバージョンに、認可回避の脆弱性が見つかりました。認証済みのユーザーが他のアプリケーションの環境を指定でき、そのアプリのレジストリや配備基盤を使ってビルドやデプロイを実行されるおそれがあります。修正版の2.7.0への更新を進めてください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
OpsTree BuildPiperの2.7.0より前のバージョンに、認可回避の脆弱性が見つかりました。認証済みのユーザーが他のアプリケーションの環境を指定でき、そのアプリのレジストリや配備基盤を使ってビルドやデプロイを実行されるおそれがあります。修正版の2.7.0への更新を進めてください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| OpsTree SolutionsBuildPiper |
< 2.7.0→ 2.7.0 |
2.7.0 |
Original description The description as published by the source.
OpsTree BuildPiper before 2.7.0 contains an authorization bypass vulnerability that allows authenticated users to attach another application's environment to their service by supplying a foreign project_env_id. Attackers can configure CI and trigger builds and deployments through the component env endpoints using the other application's configuration, registries and deployment infrastructure.
Source: CVE.org (CVE Program・cvelistV5) NVD