CVE-2021-21249
Təsvir
OneDev bütünlüklü devops platformasıdır. OneDev-in 4.0.3 versiyasından əvvəlki versiyalarında YAML analizini əhatə edən və autentifikasiyadan sonra uzaqdan kodun icrasına səbəb ola bilən bir problem mövcuddur. YAML fayllarını analiz etmək və emal etmək üçün OneDev, standart olaraq (`SafeConstructor` istifadə edilmədikdə) ixtiyari siniflərin instansiyasını yaratmağa icazə verən SnakeYaml-dən istifadə edir. Biz `javax.script.ScriptEngineManager` kimi siniflərin instansiyalarını yaradaraq və skript mühərriki provayderini yükləmək üçün `URLClassLoader`-dən istifadə edərək ixtiyari kodu işə sala bilərik ki, bu da istifadəçi tərəfindən idarə olunan sinfin instansiyasının yaradılması ilə nəticələnir. Tam nümunə üçün istinad verilmiş GHSA-ya baxın. Bu problem, yalnız müəyyən məlum siniflərin deserializasiyasına icazə verilməklə 4.0.3 versiyasında həll edilmişdir.
Necə düzəltmək olar
- onedev_project onedev4.0.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| onedev_project onedev | v < 4.0.3 | 4.0.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.