„`html
Zusammenfassung
CVE-2020-37267 ist eine High-Severity-Schwachstelle in Renovate, die Versionen ab 19.180.0 bis einschließlich 23.25.0 betrifft. Die Vulnerability ermöglicht die unbeabsichtigte Offenlegung von Bot-Authentifizierungstoken in Azure DevOps-Logs. Das Problem resultiert aus fehlender Redaktion des git-Parameters http.extraheader=AUTHORIZATION bei der Protokollierung von Git-Operationen.
Betroffene Systeme
- Renovate Versionen ≥19.180.0 und <23.25.1
- Deployments mit Azure DevOps als Git-Hosting-Plattform
- Automatisierte Bot-Implementierungen in CI/CD-Pipelines
Technische Details
Die Vulnerability liegt in der Verarbeitung von HTTP-Authentifizierungsheader durch Renovate. Bei der Kommunikation mit Azure DevOps-Repositories wird der Authorization-Token als Git-Parameter übertragen. Dieser Parameter wird in Server- und Pipeline-Logs ausgegeben, ohne dass eine Redaktion stattfindet.
Jeder Benutzer mit Zugriff auf Logs (Build-Logs, Server-Logs, Audit-Logs) kann somit die vollständigen Bot-Credentials extrahieren. Diese können anschließend für nicht autorisierte Git-Operationen oder zum Zugriff auf protected Repositories missbraucht werden.
Die Schwachstelle wurde durch das Patch CVE-2020-37267 in Version 23.25.1 behoben, indem sensitive Parameter bei der Protokollierung gefiltert werden.
Empfohlene Massnahmen
- Sofortmassnahmen: Aktualisierung auf Renovate 23.25.1 oder neuere Versionen durchführen
- Credentials-Management: Alle Bot-Token und PATs (Personal Access Tokens) in betroffenen Umgebungen widerrufen und neu generieren
- Audit-Logs: Historische Logs auf Anzeichen von Token-Leaks überprüfen
- Access-Control: Zugriff auf Build- und Server-Logs beschränken
Bewertung
CVSS-Score: 7.5 (High)
Die Kritikalität ist erhöht durch die direkte Exponierung von Authentifizierungsmechanismen in häufig einsehbaren Logs. Azure DevOps-Benutzer sollten die Sicherheitsmassnahmen prioritär umsetzen.
„`