CVE-2021-29442
Təsvir
Nacos dinamik xidmət kəşfi, konfiqurasiya və xidmət idarəetməsi üçün nəzərdə tutulmuş platformadır. Nacos-un 1.4.1 versiyasından əvvəlki versiyalarında ConfigOpsController istifadəçiyə verilənlər bazasını sorğulamaq və ya hətta onu tamamilə silmək kimi idarəetmə əməliyyatlarını yerinə yetirməyə imkan verir. /data/remove son nöqtəsi (endpoint) @Secured annotasiyası ilə düzgün şəkildə qorunsa da, /derby son nöqtəsi qorunmur və autentifikasiya olunmamış istifadəçilər tərəfindən açıq şəkildə əlçatan ola bilər. Bu son nöqtələr yalnız daxili yaddaşdan (derby DB) istifadə edildikdə keçərlidir, buna görə də bu problem xarici yaddaşdan (məsələn, mysql) istifadə edən quraşdırmalara təsir etməməlidir.
Necə düzəltmək olar
- alibaba nacos1.4.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| alibaba nacos | v < 1.4.1 | 1.4.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.