N/A
CVE编号
CVE-2024-21583利用情况
暂无补丁情况
N/A披露时间
2024-07-19漏洞描述
在以下软件包版本中存在漏洞：* github.com/gitpod-io/gitpod/components/server/go/pkg/lib 在 main-gha.27122 之前的主版本* github.com/gitpod-io/gitpod/components/ws-proxy/pkg/proxy 在 main-gha.27122 之前的主版本* github.com/gitpod-io/gitpod/install/installer/pkg/components/auth 在 main-gha.27122 之前的主版本* github.com/gitpod-io/gitpod/install/installer/pkg/components/public-api-server 在 main-gha.27122 之前的主版本* github.com/gitpod-io/gitpod/install/installer/pkg/components/server 在 main-gha.27122 之前的主版本* @gitpod/gitpod-protocol 在 0.1.5-main-gha.27122 之前的版本。这些软件包存在Cookie Tossing漏洞，原因是缺少了__Host前缀的 _gitpod_io_jwt2_ 会话cookie。这使得控制子域的对手能够在Gitpod控制平面上设置cookie的值。该cookie可以被分配给攻击者自己的JWT，因此受害者的某些行为（例如连接新的Github组织）实际上是由攻击者的会话执行的。解决建议
"将组件 github.com/gitpod-io/gitpod/install/installer/pkg/components/server 升级至 main-gha.27122 及以上版本"- 攻击路径 N/A
- 攻击复杂度 N/A
- 权限要求 N/A
- 影响范围 N/A
- 用户交互 N/A
- 可用性 N/A
- 保密性 N/A
- 完整性 N/A
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论