CVE-2021-21250
Təsvir
OneDev bütün-içində devops platformasıdır. OneDev-in 4.0.3 versiyasından əvvəlki versiyalarında ixtiyari faylların oxunmasına səbəb ola biləcək kritik boşluq mövcuddur. BuildSpec XML formatında təqdim edildikdə, spesifikasiya xarici entitilərin genişlənməsinin qarşısını almadan XML sənədini emal edən XmlBuildSpecMigrator.migrate(buildSpecString); tərəfindən işlənir. Bu entitilər fayl sistemindən ixtiyari faylları oxumaq və onların məzmununu miqrasiya olunacaq yekun XML sənədinə köçürmək üçün konfiqurasiya edilə bilər. Əgər fayllar YAML faylına daxil edilmiş xüsusiyyətlərdə (properties) köçürülərsə, hücumçu onları oxuya biləcəkdir. Əks halda, hücumçunun bu faylların məzmununu Out Of Band vasitəsilə sızdırması mümkündür. Bu problem 4.0.3 versiyasında XML faylındakı ENTITY təlimatlarının nəzərə alınmaması ilə həll edilmişdir.
Necə düzəltmək olar
- onedev_project onedev4.0.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| onedev_project onedev | v < 4.0.3 | 4.0.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.