CVE-2021-32674
Təsvir
Zope açıq mənbəli veb tətbiqi serveridir. Bu bildiriş, TAL ifadələrinin keçid zəifliklərinin əlavə halları ilə https://github.com/zopefoundation/Zope/security/advisories/GHSA-5pr9-v234-jw36 ünvanındakı əvvəlki bildirişi genişləndirir. Çoxu Python modulları, veb vasitəsilə əlavə edə biləcəyiniz TAL ifadələrində (məsələn, Zope Page Templates-də) istifadə üçün əlçatan deyil. Bu məhdudiyyət fayl sisteminə girişi, məsələn, 'os' modulu vasitəsilə qarşısını alır. Lakin bəzi etibarsız modullar, birbaşa istifadə üçün əlçatan olan Python modulları vasitəsilə dolayısı ilə əlçatandır. Defolt olaraq, veb üzərindən Zope Page Templates əlavə etmək və ya redaktə etmək üçün Manager roluna malik olmalısınız. Yalnız etibarsız istifadəçilərə veb vasitəsilə Zope Page Templates əlavə etməyə/redaktə etməyə icazə verən saytlar risk altındadır. Problem Zope 5.2.1 və 4.6.1 versiyalarında düzəldilmişdir. Müvəqqəti həll yolu https://github.com/zopefoundation/Zope/security/advisories/GHSA-5pr9-v234-jw36 ünvanındakı ilə eynidir: Sayt administratoru standart Zope istifadəçi/rol icazə mexanizmlərindən istifadə edərək veb vasitəsilə Zope Page Templates əlavə edilməsini/redaktə olunmasını məhdudlaşdıra bilər. Etibarsız istifadəçilərə Zope Manager rolu təyin edilməməli və veb vasitəsilə Zope Page Templates əlavə etmək/redaktə etmək yalnız etibarlı istifadəçilərlə məhdudlaşdırılmalıdır.
Necə düzəltmək olar
- zope zope4.6.1, 5.2.1 və ya daha yeni versiya
- zope4.6.1, 5.2.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| zope zope | v < 4.6.1, 5.0.0 ≤ v < 5.2.1 | 4.6.1, 5.2.1 |
| zopePyPI | v < 4.6.1, 5.0 ≤ v < 5.2.1, 4.0 ≤ v < 4.6.1 | 4.6.1, 5.2.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.