CVE-2020-15097
Təsvir
loklak müxtəlif mənbələrdən, o cümlədən Twitter-dən mesajları toplamaq imkanına malik açıq mənbəli server tətbiqidir. Server axtarış indeksi və peer-to-peer indeks paylaşma interfeysi ehtiva edir. Bütün mesajlar elasticsearch indeksində saxlanılır. loklak-ın 5f48476 commit-i daxil olmaqla daha əvvəlki versiyalarında path traversal zəifliyi mövcuddur. loklak serveri tərəfindən təqdim edilən API-lərdə giriş məlumatlarının kifayət qədər yoxlanılmaması kataloq keçidi (directory traversal) zəifliyinə yol açmışdır. Hücumçu host edilmiş fayl sistemində olan bütün admin konfiqurasiyalarını və tətbiq tərəfindən oxuna bilən faylları əldə edə bilər. Bundan əlavə, istifadəçi tərəfindən idarə olunan məzmun hər hansı bir admin konfiqurasiyasına və tətbiq tərəfindən oxuna bilən fayllara yazıla bilərdi. Bu problem 50dd692 commit-i ilə düzəldilmişdir. İstifadəçilər bu eksployta qarşı həssas olmamaq üçün loklak instansiyalarını yeniləməlidirlər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| loklak_project loklak | v ≤ 2020-01-22 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.