CVE-2021-32753

EdgeX Foundry, əşyaların interneti kənar hesablamaları üçün ümumi açıq çərçivənin qurulmasına yönəlmiş açıq mənbəli layihədir. Proqram təminatının Edinburgh, Fuji, Geneva və Hanoi versiyalarında zəiflik mövcuddur. EdgeX API gateway OAuth2 autentifikasiyası üçün konfiqurasiya edildikdə və proksi istifadəçi yaradıldıqda, OAuth2 autentifikasiya tokenini əldə etmək üçün tələb olunan client_id və client_secret dəyərləri proksi istifadəçinin istifadəçi adına bərabər təyin edilir. Uzaqdakı şəbəkə hücumçusu daha sonra API gateway-in OAuth2 token son nöqtəsinə lüğət əsaslı şifrə hücumu həyata keçirərək OAuth2 autentifikasiya tokenini əldə edə bilər və bu tokendən istifadə edərək etibarsız şəbəkədən EdgeX mikroxidmətlərinə autentifikasiya olunmuş çağırışlar edə bilər. OAuth2, EdgeX Edinburgh buraxılışında standart autentifikasiya metodudur. Standart autentifikasiya metodu Fuji və ondan sonrakı buraxılışlarda JWT ilə dəyişdirilmişdir. İstifadəçilər problemi aradan qaldırmaq üçün EdgeX Ireland buraxılışına yüksəltmə etməlidirlər. Ireland buraxılışında OAuth2 autentifikasiya metodu deaktiv edilmişdir. Yüksəltmə etmək mümkün olmadıqda və OAuth2 autentifikasiyası tələb olunduqda, istifadəçilər OAuth2 istifadəçilərini birbaşa Kong admin API vasitəsilə yaratmalı və OAuth2 istifadəçilərinin yaradılması üçün `security-proxy-setup` alətindən istifadə etməməlidirlər.