CVE-2020-15813
Təsvir
3.3.3 versiyasından əvvəlki Graylog LDAP serverləri üçün SSL Sertifikat Doğrulamasına malik deyil. Bu, LDAP-da saxlanılan xarici istifadəçi/qrup verilənlər bazasından istifadəyə imkan verir. Qoşulma konfiqurasiyası şifrələnməmiş, SSL və ya TLS ilə təmin edilmiş qoşulmalardan istifadəyə şərait yaradır. Təəssüf ki, Graylog müştəri kodu (LDAP-ı dəstəkləyən bütün versiyalarda) düzgün sertifikat doğrulamasını tətbiq etmir ("Öz imzalı sertifikatlara icazə ver" seçimindən asılı olmayaraq). Buna görə də, Graylog serveri ilə LDAP serveri arasındakı şəbəkə trafikini ələ keçirmək imkanı olan hər hansı bir hücumçu, trafiki fərqli bir LDAP serverinə yönləndirə bilir (sertifikat doğrulamasının olmaması səbəbindən bu, Graylog serveri tərəfindən hiss olunmur) və effektiv şəkildə Graylog-un autentifikasiya mexanizmindən yan keçir.
Necə düzəltmək olar
- graylog graylog3.3.3 və ya daha yeni versiya
- org.graylog:graylog-parent3.3.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| graylog graylog | v < 3.3.3 | 3.3.3 |
| org.graylog:graylog-parentMaven | v < 3.3.3 | 3.3.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.