Atlantis Events vulnerable to Timing Attack

高 7.5CVE-2022-24912 · GHSA-jxqv-jcvh-7gr4 · GO-2022-0534 · 29/07/2022 公開 · 17/06/2026 更新

要点

CVE-2022-24912 は github.com/runatlantis/atlantis, atlantis (runatlantis) に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.2%（全脆弱性の 68.7% より高い）。
対処：0.19.7 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
github.com/runatlantis/atlantis Go	`< 0.19.7`	`0.19.7`
atlantis runatlantis	`< 0.19.7`	`0.19.7`

概要

The package github.com/runatlantis/atlantis/server/controllers/events before 0.19.7 is vulnerable to Timing Attack in the webhook event validator code, which does not use a constant-time comparison function to validate the webhook secret. It can allow an attacker to recover this secret as an attacker and then forge webhook events.

NVD の説明

The package github.com/runatlantis/atlantis/server/controllers/events before 0.19.7 are vulnerable to Timing Attack in the webhook event validator code, which does not use a constant-time comparison function to validate the webhook secret. It can allow an attacker to recover this secret as an attacker and then forge webhook events.