دامنهٔ نقص
در نسخه‌های متأثر Octopus Server، وقتی فراهم‌کنندهٔ احراز هویت LDAP فعال است، هر کاربر احراز‌شده می‌تواند جست‌وجوی کاربران و گروه‌های LDAP را فراخوانی کند. رکورد رسمی سازنده این موضوع را به افشای اطلاعات با شدت متوسط نسبت می‌دهد. این نقص ورود ناشناس به Octopus یا اجرای مستقیم فرمان استقرار نیست؛ حساب معتبر و فعال بودن فراهم‌کنندهٔ LDAP، دو شرط مهم برای ارزیابی مواجهه هستند.
اهمیت اطلاعات دایرکتوری به زمینهٔ سازمان بستگی دارد. نام حساب‌ها و ساختار گروه‌ها ممکن است شناخت نقش‌های داخلی را آسان کند، اما رکورد عمومی فهرست قطعی همهٔ ویژگی‌های قابل دریافت را ارائه نمی‌دهد. بنابراین ادعای افشای رمز عبور یا دسترسی به تمام داده‌های دایرکتوری از این توضیح قابل استنتاج نیست. لازم است پاسخ واقعی سرویس در محیط مجاز و با حساب آزمایشی کم‌اختیار بررسی شود.
نسخه‌های متأثر و اصلاح
سازنده دو بازه ثبت کرده است: از 3.0.0 تا پیش از 2026.2.13487، و از 2026.3.0 تا پیش از 2026.3.15909. مرز اصلاح هر شاخه به ترتیب 2026.2.13487 و 2026.3.15909 است. هر دو بستر Windows و Linux در دادهٔ محصول آمده‌اند. مقایسهٔ سادهٔ رشته‌ای شماره‌ها یا انتخاب نسخه از شاخهٔ نادرست می‌تواند نتیجهٔ اشتباه بدهد؛ مسیر انتشار نصب‌شده را همراه شمارهٔ کامل ساخت ثبت کنید.
وجود LDAP در زیرساخت سازمان به تنهایی این نصب را متأثر نمی‌کند؛ باید فراهم‌کنندهٔ LDAP در خود Octopus Server فعال باشد. در محیط دارای چند گره، نسخهٔ همهٔ گره‌های سرویس‌دهنده را کنترل کنید. گرهٔ جا‌مانده می‌تواند درخواست‌های بخشی از کاربران را همچنان با رفتار قبلی پردازش کند.
آماده‌سازی تغییر
پیشنهاد تحریریه، مرور کاربران فعال و حذف دسترسی حساب‌هایی است که دیگر به سامانهٔ استقرار نیاز ندارند. این کار اصلاح محصول نیست، اما تعداد هویت‌هایی را که می‌توانند به مسیر متأثر برسند کاهش می‌دهد. از تغییر عجولانهٔ فراهم‌کنندهٔ ورود در تولید خودداری کنید؛ وابستگی به گروه‌های LDAP ممکن است بر مجوز پروژه‌ها، تیم‌ها و ورود مدیران اثر بگذارد.
پیش از ارتقا، مسیر بازیابی دسترسی مدیریتی را مطابق رویهٔ سازمان تأیید کنید. در محیط آزمایشی، ورود کاربر عادی، عضویت گروهی و یک استقرار مجاز نمونه را بررسی کنید. پس از نصب نسخهٔ اصلاح‌شده، آزمون مجوز جست‌وجو باید با حسابی انجام شود که عمداً اختیار مدیریت کاربران ندارد؛ آزمون صرفاً با حساب مدیر نشان نمی‌دهد مرز مجوز اصلاح شده است.
ثبت و بررسی رخداد
در صورت وجود لاگ مناسب، درخواست‌های غیرمعمول جست‌وجوی LDAP و حجم پاسخ‌ها را در کنار هویت فراخواننده بررسی کنید. مصرف عادی رابط مدیریت را از جست‌وجوی گسترده تفکیک کنید و بدون شاهد، فعالیت کاربر را مخرب ننامید. اگر داده‌ای خارج از نیاز شغلی نمایش داده شده، دامنهٔ اطلاعات و دورهٔ زمانی را مشخص کنید.
برای بستن اصلاح، نسخهٔ نهایی هر گره، وضعیت فراهم‌کننده، نتیجهٔ ورود عادی و نتیجهٔ آزمون عدم دسترسی حساب کم‌اختیار را نگه دارید. شدت متوسط نباید باعث حذف موضوع از صف شود؛ سامانهٔ استقرار معمولاً اطلاعات سازمانی ارزشمندی دارد. با این حال، اولویت باید با شرایط واقعی و پیامد محدود تأییدشده متناسب بماند.
امتیاز و منابع
امتیاز ثبت‌شدهٔ CNA برابر 5.3 در CVSS 4.0 است. منبع امتیاز: Octopus. بردار رسمی: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N. این امتیاز ادعای وقوع حمله یا حضور در فهرست KEV نیست.
تصویر همراه نشان Octopus Deploy است و برای معرفی محصول یا سازنده استفاده می‌شود؛ تصویر حمله یا تأیید این گزارش توسط صاحب نشان نیست. بازبینی: ۲۹ اکتبر ۲۰۲۶.
