CVE-2021-22922
Təsvir
curl-a metalink funksiyasından istifadə edərək məzmunu yükləmək tapşırıldıqda, məzmun metalink XML faylında təqdim olunan heş (hash) vasitəsilə yoxlanılır. Metalink XML faylı klientə eyni məzmunu müxtəlif serverlərdə yerləşə bilən bir sıra fərqli URL-lərdən necə əldə etməyi göstərir və klient daha sonra faylı onlardan biri və ya bir neçəsindən ardıcıl və ya paralel şəkildə yükləyə bilir. Məzmunu host edən serverlərdən biri sındırılıbsa və həmin serverdəki konkret faylın məzmunu dəyişdirilmiş payload ilə əvəzlənibsə, curl yükləmə tamamlandıqdan sonra faylın heşi uyğun gəlmədikdə bunu aşkar etməlidir. O, məzmunu silməli və bunun əvəzinə digər URL-dən məzmunu almağa çalışmalıdır. Lakin bu proses yerinə yetirilmir və belə heş uyğunsuzluğu yalnız mətndə qeyd edilir, potensial zərərli məzmun isə diskdəki faylda saxlanılır.
Necə düzəltmək olar
- haxx curl7.78.0 və ya daha yeni versiya
- siemens sinec_infrastructure_network_services1.0.1.1 və ya daha yeni versiya
- splunk universal_forwarder8.2.12, 9.0.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| haxx curl | 7.27.0 ≤ v < 7.78.0 | 7.78.0 |
| fedoraproject fedora | 33 | — |
| netapp cloud_backup | Aralıq göstərilməyib | — |
| netapp clustered_data_ontap | Aralıq göstərilməyib | — |
| netapp hci_management_node | Aralıq göstərilməyib | — |
| netapp solidfire | Aralıq göstərilməyib | — |
| oracle mysql_server | 5.7.0 ≤ v ≤ 5.7.35, 8.0.0 ≤ v ≤ 8.0.26 | — |
| siemens sinec_infrastructure_network_services | v < 1.0.1.1 | 1.0.1.1 |
| netapp h300s_firmware | Aralıq göstərilməyib | — |
| netapp h500s_firmware | Aralıq göstərilməyib | — |
| netapp h700s_firmware | Aralıq göstərilməyib | — |
| netapp h300e_firmware | Aralıq göstərilməyib | — |
| netapp h500e_firmware | Aralıq göstərilməyib | — |
| netapp h700e_firmware | Aralıq göstərilməyib | — |
| netapp h410s_firmware | Aralıq göstərilməyib | — |
| splunk universal_forwarder | 8.2.0 ≤ v < 8.2.12, 9.0.0 ≤ v < 9.0.6, 9.1.0 | 8.2.12, 9.0.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.