CVE-2021-39132

Rundeck es un servicio de automatización de código abierto con una consola web, herramientas de línea de comandos y una WebAPI. Antes de la versión 3.3.14 y la versión 3.4.3, un usuario autorizado puede subir un plugin en formato zip con un plugin.yaml manipulado, o un archivo aclpolicy yaml manipulado, o subir un archivo de proyecto no fiable con un archivo aclpolicy yaml manipulado, que puede hacer que el servidor ejecute código no fiable en Rundeck Community o Enterprise Edition. Un usuario autenticado puede realizar una solicitud POST, que puede hacer que el servidor ejecute código no fiable en Rundeck Enterprise Edition. Los problemas del plugin zip-format requieren autenticación y autorización a estos niveles de acceso, y afecta a todas las ediciones de Rundeck:Nivel de acceso `admin` al tipo de recurso `system`. Los problemas de carga de archivos yaml de la política ACL requieren autenticación y autorización para estos niveles de acceso, y afectan a todas las ediciones de Rundeck: Acceso de nivel `create` `update` o `admin` a un recurso `project_acl`, y/o acceso de nivel `create` `update` o `admin` al recurso `system_acl`. La solicitud POST no autorizada requiere autenticación, pero no una autorización específica, y sólo afecta a Rundeck Enterprise. Los parches están disponibles en las versiones 3.4.3, 3.3.14