CVE-2021-43287
— 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：GoCD 管道创建时的 Git URL 存在**命令行注入**缺陷。
💥 **后果**：攻击者可执行**任意代码**，导致**信息泄露**（构建密钥、加密密钥等）。
Q2根本原因？（CWE/缺陷点）
🔍 **缺陷点**：Git URL “测试连接”功能未对输入进行严格过滤。
⚠️ **CWE**：数据中未明确指定具体 CWE ID，但属于典型的**命令注入**类漏洞。
Q3影响谁？（版本/组件）
📦 **产品**：ThoughtWorks GoCD (CI/CD 服务器)。
📅 **版本**：**21.3.0 之前**的所有版本均受影响。
Q4黑客能干啥？（权限/数据）
👮 **权限**：拥有在 GoCD 服务器上**创建新管道**权限的攻击者。
📂 **数据**：可读取敏感配置，包括**构建秘密**和**加密密钥**。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛**：中等。
✅ **前提**：需要**认证权限**（能在服务器创建管道），非完全无认证，但内部人员或低权限用户即可利用。
Q6有现成Exp吗？（PoC/在野利用）
💻 **PoC/Exp**：有。
🔗 提供基于 `pocsuite` 的 PoC/EXP 脚本，支持文件读取和命令执行测试。
Q7怎么自查？（特征/扫描）
🔎 **自查**：
1. 检查 GoCD 版本是否 < 21.3.0。
2. 使用 Nuclei 模板 `CVE-2021-43287.yaml` 进行扫描。
3. 测试 Git URL 输入框是否存在注入点。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：已修复。
📌 **版本**：官方在 **21.3.0** 版本中修复了此漏洞。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
1. 升级至 **21.3.0 或更高版本**。
2. 严格限制**创建管道**的权限，仅授予可信管理员。
3. 审查 Git URL 输入逻辑（若无法立即升级）。
Q10急不急？（优先级建议）
🔥 **优先级**：**高**。
⚡ **理由**：涉及 CI/CD 核心权限，可导致**密钥泄露**和**远程代码执行**，严重影响供应链安全。