CVE-2021-37705

OneFuzz açıq mənbəli və özünə aid host edilən Fuzzing-As-A-Service platformasıdır. OneFuzz 2.12.0 və daha yeni versiyalarda, natamam avtorizasiya yoxlaması istənilən Azure Active Directory tenant-ından olan autentifikasiya olunmuş istifadəçiyə həssas OneFuzz instansiyasına avtorizasiya edilmiş API çağırışları etməyə imkan verir. Həssaslığın mövcud olması üçün OneFuzz tətbiqi həm 2.12.0 və ya daha yeni versiya olmalı, həm də standart olmayan `--multi_tenant_domain` seçimi ilə quraşdırılmalıdır. Bu, proqram təminatı zəiflikləri və çökmə məlumatları, təhlükəsizlik testi alətləri, mülkiyyət hüquqlı kod və simvollar kimi məxfi məlumatlara oxuma/yazma girişinə səbəb ola bilər. Avtorizasiya edilmiş API çağırışları vasitəsilə bu, həmçinin mövcud məlumatların dəyişdirilməsinə və Azure hesablama resurslarında icazəsiz kodun icrasına şərait yaradır. Bu problem, bearer token-in `issuer` hissəsinin administrator tərəfindən konfiqurasiya edilmiş ağ siyahıya qarşı tətbiq səviyyəsində yoxlanılması əlavə edilməklə, 2.31.0 versiyasından başlayaraq həll edilmişdir. Müvəqqəti həll yolu kimi, istifadəçilər 2.31.0 versiyasından kiçik olan quraşdırılmış OneFuzz instansiyasının tenant-ına girişi, `--multi_tenant_domain` seçimini çıxararaq standart konfiqurasiya ilə yenidən quraşdırmaqla məhdudlaşdıra bilərlər.