CVE-2021-32756
Təsvir
ManageIQ açıq mənbəli idarəetmə platformasıdır. jansa-4, kasparov-2 və lasker-1 versiyalarından əvvəlki versiyalarda ManageIQ-nun MiqExpression modulunda aşağı imtiyazlı istifadəçinin qiymətləndiriləcək xüsusi hazırlanmış Ruby sətrini daxil edə biləcəyi bir boşluq mövcuddur. Uğurlu istismar hücumçuya host sistemində root imtiyazları ilə ixtiyari kodun icrasına imkan verəcəkdir. Bu problem üçün jansa-4, kasparov-2 və lasker-1 adlı buraxılışlarda yamalar mövcuddur. Mümkünsə, RBAC vasitəsilə istifadəçiləri tətbiqin yalnız girişə ehtiyac duyduqları hissələri ilə məhdudlaşdırın. MiqExpression məhsul boyunca geniş istifadə olunsa da, istifadəçilərin məhdudlaşdırılması hücum səthini azalda bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| manageiq manageiq | jansa-1, jansa-2, jansa-3, kasparov-1, lasker-1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.