CVE-2019-7628
Təsvir
Pagure 5.2 API açarlarını istifadəçilərə e-poçt vasitəsilə göndərərək sızdırır. Bir çox e-poçt serveri TLS sertifikatlarını yoxlamadığı üçün, "man-in-the-middle" hücumçularının bu e-poçtları oxuması və digər istifadəçilər adından Pagure-a giriş əldə etməsi asandır. Bu problem files/api_key_expire_mail.py faylındakı API tokeninin vaxtının bitməsi ilə bağlı xatırlatma cron tapşırığında aşkar edilmişdir; həmin tapşırığın deaktiv edilməsi də effektiv həll yoludur. (API açarının bir hissəsinin e-poçtla göndərilməsi cəhd edilmiş, lakin rədd edilmiş bir həll yolu idi.)
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| redhat pagure | 5.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.