CVE-2020-15133
Təsvir
faye-websocket versiya 0.11.0-dan əvvəlki versiyalarda TLS əl sıxma prosesində sertifikat təsdiqləməsinin olmaması problemi mövcuddur. Bağlantı üçün `wss:` URL istifadə edildikdə, `Faye::WebSocket::Client` sinfi TLS əl sıxmasını həyata keçirmək üçün EventMachine-dəki `EM::Connection#start_tls` metodundan istifadə edir. Bu metod standart olaraq sertifikat yoxlamasını tətbiq etmir, yəni serverin gözlənilən host adı üçün etibarlı və güvənli TLS sertifikatı təqdim edib-etmədiyini yoxlamır. Bu o deməkdir ki, bu kitabxana vasitəsilə qurulan hər hansı `wss:` bağlantısı, qoşulduğu serverin şəxsiyyətini təsdiqləmədiyi üçün "man-in-the-middle" hücumuna qarşı həssasdır. Bu problem haqqında daha ətraflı məlumat üçün zəhmət olmasa istinad edilən GitHub Advisory-yə baxın. `faye-websocket` paketinin v0.11.0 versiyasına yenilənməsi tövsiyə olunur.
Necə düzəltmək olar
- faye-websocket_project faye-websocket0.11.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| faye-websocket_project faye-websocket | v < 0.11.0 | 0.11.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.