oneDev Unauthorized Access Vulnerabilities: Fork/Parent Rebinding/Time Tracking Info Disclosure

脆弱性の概要 このページでは、oneDev BOPLAにおける複数の脆弱性が報告されています。全体的に、すべての問題はプロジェクトオーナーによって確認されています。以下は主要な脆弱性の概要です： 1. Issue 01 — による無許可のクロスプロジェクトリポジトリフォーク - リスク概要：名前空間内でプロジェクトを作成できるユーザーは、 がユーザーが読み取ることができないソースプロジェクトを参照するフォークプロジェクトを作成できる可能性があります。 - 影響範囲：影響を受ける処理には、ソースプロジェクトから攻撃者が制御するターゲットプロジェクトへリポジトリデータ、LFSオブジェクト、コミットメタデータ、プロジェクトアバター情報をコピーする処理が含まれますが、ソースプロジェクトの読み取り権限が強制されていません。 - 修正策： - を受け入れる前に、明示的なソースプロジェクトの可視性および/またはコード読み取り権限を要求すること。 - 実際のフォークサービス実装に防御的検証を追加すること。 - リグレッションテストを追加すること： - 「ユーザーがプロジェクトを作成できる」 - ただし「ユーザーがソースリポジトリを読み取れない可能性がある」 2. Issue 02 — による無許可のパラプロジェクト再バインド - リスク概要：プロジェクトを管理できるユーザーは、プロジェクトの を、ユーザーが 権限を持たない別の親名前空間に変更できる可能性があります。 - 影響範囲：親子関係の変更後、プロジェクトパス、祖先継承、継承された設定、権限伝播チェーンがそれに応じて変更される可能性があります。 - 修正策： - エンティティを変更する前に、元の親子関係を保持すること。 - 新しい を適用する前に認可チェックを実行すること。 - 下流のプロジェクト更新ロジックに防御的検証を追加すること。 - リグレッションテストを追加すること： - 「ユーザーがプロジェクトを管理できる」 - ただし「ユーザーがターゲット名前空間内で子プロジェクトを作成できない可能性がある」 3. Issue 03 — デフォルトブランチの変更が WriteCode 権限のみで保護 - リスク概要： を変更するためのREST APIは、現在 権限のみを必要とするようです。 - 影響範囲：デフォルトブランチはプロジェクトレベルの制御プレーン属性として、ワークフロー自動化、ブランチ選択ロジック、デフォルト実行ターゲットに影響を与えます。 - 修正策： - Web UIの動作とREST認可セマンティクスを一致させること。 - （または同等の上位制御プレーン権限）を要求すること。 - 同様の権限の不整合を特定するため、他のプロジェクトレベルの制御属性をレビューすること。 4. Issue 04 — 任意の割り当て先を介したプルリクエスト変更権限の委譲 - リスク概要：任意の割り当て先を通じて、プルリクエストの変更権限が委譲される。 - 影響範囲：未認可ユーザーによるプルリクエストの変更を招く可能性がある。 - 修正策：具体的な修正策は提示されていない。 5. Issue 05 — 課題REST APIを介したタイムトラッキング情報の無許可な露出 - リスク概要：課題のタイムトラッキング情報が、課題自体にアクセス可能なユーザーに対してREST API経由で露出しているようです。これはこれらのユーザーが専用のタイムトラッキング可視性権限を持たない場合も同様です。 - 影響範囲：露出される情報には、集計された時間統計と詳細な作業ログエントリが含まれます。 - 修正策： - 課題オブジェクトと作業ログ集合を返す前に、 を要求すること。 - 呼び出し元が対応する権限を持たない場合、タイムトラッキングフィールドを非表示にするか省略すること。 - 既存のUI／サービス層の認可セマンティクスとRESTの動作を一致させること。 影響範囲 Issue 01：無許可のプロジェクト複製とメタデータ漏洩を引き起こす可能性がある。 Issue 02：プロジェクト階層構造と名前空間境界適用の崩壊を引き起こす可能性がある。 Issue 03：デフォルトブランチの無許可な変更を引き起こす可能性があり、ワークフロー自動化に影響する。 Issue 04：プルリクエストの無許可な変更を引き起こす可能性がある。 Issue 05：タイムトラッキング情報の無許可な露出を引き起こす可能性があり、チームのワークロード配分、作業計画、協力パターンなどの機密な業務詳細に影響する。 修正策 Issue 01：明示的なソースプロジェクトの可視性および/またはコード読み取り権限を要求し、防御的検証とリグレッションテストを追加すること。 Issue 02：元の親子関係を保持し、認可チェックを実行し、防御的検証とリグレッションテストを追加すること。 Issue 03：Web UIの動作とREST認可セマンティクスを一致させ、より上位の権限を要求し、他の制御属性をレビューすること。 Issue 04：具体的な修正策は提示されていない。 Issue 05： を要求し、タイムトラッキングフィールドを非表示にするか省略し、RESTの動作を一致させること。 POCコードやエクスプロイトコード ページには具体的なPOCコードやエクスプロイトコードは示されていない。

目標達成 すべての支援者に感謝 — 100%達成しました！

oneDev Unauthorized Access Vulnerabilities: Fork/Parent Rebinding/Time Tracking Info Disclosure

目標達成すべての支援者に感謝 — 100%達成しました！