CVE-2022-24912
Publiée le 2022-07-29 · Dernière modification le 2026-06-17
Les versions d'Atlantis antérieures à la 0.19.7 sont vulnérables à une attaque temporelle permettant à un attaquant distant non authentifié de deviner le secret du webhook. En mesurant le temps que met le serveur à valider les signatures, un attaquant peut récupérer le secret, puis forger de faux événements de webhook pour déclencher des actions non autorisées. Cette attaque est relativement simple à exécuter via le réseau et ne nécessite aucune interaction de l'utilisateur ni d'identifiants préalables.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The package github.com/runatlantis/atlantis/server/controllers/events before 0.19.7 are vulnerable to Timing Attack in the webhook event validator code, which does not use a constant-time comparison function to validate the webhook secret. It can allow an attacker to recover this secret as an attacker and then forge webhook events.