KnowSafe 安全预警：GoCD Business Continuity 任意文件读取漏洞（CVE-2021-43287）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2021-43287 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

GoCD 是一个开源的持续集成和持续交付系统，可以在持续交付过程中执行编译，自动化测试，自动部署等等。

​GoCD Business Continuity 存在任意文件读取漏洞，未经身份验证的攻击者可以利用该漏洞来接管 CI/CD 管道，最终可在未授权的情况下造成任意文件读取，获取敏感API密钥等信息。

影响版本：

20.6.0 <= GoCD <= 21.2.0

影响范围

应用：thoughtworks gocd（影响面 Up to (excluding) 21.3.0）

解决方案

建议升级该组件至最新版本。

参考信息

http://wiki.hgsec.top/%E6%BC%8F%E6%B4%9E%E5%BA%93/GoCD/CVE-2021-43287%20GoCD%20%E8%B7%AF%E5%BE%84%E9%81%8D%E5%8E%86%E6%BC%8F%E6%B4%9E/

https://blog.sonarsource.com/gocd-pre-auth-pipeline-takeover

https://github.com/gocd/gocd/commit/41abc210ac4e8cfa184483c9ff1c0cc04fb3511c

https://www.gocd.org/releases/#21-3-0

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。