CVE-2021-38305
Təsvir
3.0.8 versiyasından əvvəlki 23andMe Yamale, xüsusi hazırlanmış sxem faylı vasitəsilə uzaqdakı hücumçulara ixtiyari kodun icrasına imkan verir. Sxem analizçisi emalın bir hissəsi kimi eval funksiyasından istifadə edir və eval-ə ötürülən daxili funksiyaları məhdudlaşdıraraq zərərli ifadələrdən qorunmağa çalışır. Sxemi emal edərkən, validatoru əlçatan etmək üçün hər sətir Python-un eval funksiyası vasitəsilə işlədilir. Sxem qaydaları daxilində düzgün qurulmuş sətir sistem əmrlərini icra edə bilər; beləliklə, bu boşluqdan istifadə edərək hücumçu Yamale-ni çağıran obrazda ixtiyari kodu işlədə bilər.
Necə düzəltmək olar
- 23andme yamale3.0.8 və ya daha yeni versiya
- yamale3.0.8 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| 23andme yamale | v < 3.0.8 | 3.0.8 |
| yamalePyPI | v < 3.0.8 | 3.0.8 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.