CVE-2018-7544
Təsvir
OpenVPN-in 2.4.5 versiyasına qədər olan idarəetmə interfeysində protokollararası skriptinq problemi aşkar edilmişdir. Bu interfeys şifrəsiz şəkildə TCP üzərindən aktiv edildikdə və bu interfeysə digər heç bir müştəri qoşulmadıqda, hücumçular veb brauzerdə XMLHttpRequest hərəkətlərini tetikləyərək ixtiyari idarəetmə əmrlərini icra edə, həssas məlumatları əldə edə və ya xidmətdən imtina (SIGTERM) halına səbəb ola bilərlər. Bu, http://localhost:23000 ünvanına TEXTAREA elementi daxilində "signal SIGTERM" əmri ilə göndərilən multipart/form-data POST sorğusu vasitəsilə nümayiş etdirilir. QEYD: Vendor bunun zəiflik olduğunu inkar edir. Onlar bildirirlər ki, bu, daxili zəiflikdən ziyadə OpenVPN instansiyasının yanlış konfiqurasiyasının nəticəsidir və artıq həm management-interface sənədlərində, həm də iş vaxtı xəbərdarlığı ilə belə konfiqurasiyalara qarşı daha açıq şəkildə xəbərdarlıq edirlər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openvpn openvpn | v ≤ 2.4.5 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.