CVE-2021-20288
Təsvir
ceph-in 14.2.20 versiyasından əvvəlki versiyalarında autentifikasiya çatışmazlığı aşkar edilmişdir. Monitor CEPHX_GET_AUTH_SESSION_KEY sorğularını emal edərkən other_keys parametrini təmizləmir və bu da açarların yenidən istifadəsinə şərait yaradır. global_id tələb edə bilən hücumçu, ceph köhnə açarların yeni açarlar yaratmaq üçün yenidən istifadəsini məcburi etmədiyi üçün hər hansı bir istifadəçinin əvvəllər başqa bir istifadəçi ilə əlaqələndirilmiş global_id-ni tələb etmək imkanından istifadə edə bilər. Bu zəiflikdən qaynaqlanan ən yüksək təhlükə məlumatların konfidensiallığına və bütövlüyünə, habelə sistemin əlçatanlığına yönəlmişdir.
Necə düzəltmək olar
- linuxfoundation ceph14.2.21 və ya daha yeni versiya
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/362CEPPYF3YMJZBEJQUT3KDE2EHYYIYQ/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/5BPIAYTRCWAU4XWCDBK2THEFVXSC4XGK/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/JVWUKUUS5BCIFWRV3JCUQMAPJ4HIWSED/
- security.gentoo.org/glsa/202105-39
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| linuxfoundation ceph | v < 14.2.21 | 14.2.21 |
| redhat ceph_storage | 4.0 | — |
| fedoraproject fedora | 32, 33, 34 | — |
| debian debian_linux | 10.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.