CVE-2022-23642
高已发布
Sourcegraph 中的代码注入
- 已发布
- 2022年2月18日
- 已更新
- 2025年4月22日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2022年6月14日
初级CVSS
8.8/ 10高
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H74.3%
高 · 未来 30 天
- 百分位
- 99.5%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
Sourcegraph 是一个代码搜索与导航引擎。版本 3.37 之前的 Sourcegraph 在 `gitserver` 服务中存在远程代码执行漏洞。该服务充当 git 执行代理，但未能正确限制对 `git config` 的调用。这允许攻击者设置 git 的 `core.sshCommand` 选项，使 git 在需要连接远程系统时使用指定命令而非 ssh。此漏洞的利用取决于 Sourcegraph 的部署方式。能够向 gitserver 等内部服务发起 HTTP 请求的攻击者即可利用该漏洞。此问题已在 Sourcegraph 3.37 版本中修复。作为临时解决方案，请确保对 gitserver 的请求得到妥善防护。
来源
2PoC for Sourcegraph Gitserver < 3.37.0 RCE (CVE-2022-23642)
Altelus · multiple · 2022年6月14日
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。