CVE-2021-41192
Təsvir
Redash məlumatların vizuallaşdırılması və paylaşılması üçün nəzərdə tutulmuş paketdir. Əgər administrator Redash-in 10.0.0 və daha əvvəlki versiyalarını `REDASH_COOKIE_SECRET` və ya `REDASH_SECRET_KEY` mühit dəyişənlərini açıq şəkildə təyin etmədən quraşdırarsa, hər iki dəyişən üçün bütün quraşdırmalarda eyni olan standart dəyərdən istifadə olunur. Belə hallarda, instansiya hücumçuların məlum standart dəyəri istifadə edərək sessiyaları saxtalaşa biləcəyi zəifliyə malik olur. Bu problem yalnız `REDASH_COOKIE_SECRET` və ya `REDASH_SECRET_KEY` mühit dəyişənlərinin açıq şəkildə təyin edilmədiyi quraşdırmalara təsir edir. Bu problem rəsmi Redash bulud imiclərindən, Redash-in Digital Ocean marketplace droplet-lərindən və ya `getredash/setup` repozitoriyasındakı skriptlərdən istifadə edən istifadəçilərə təsir etmir. Bu instansiyalar quraşdırma zamanı avtomatik olaraq unikal gizli açarlar generasiya edir. Instansiyanın təsirlənib-təsirlənmədiyi `REDASH_COOKIE_SECRET` mühit dəyişəninin dəyəri yoxlanılaraq müəyyən edilə bilər. Əgər bu dəyər `c292a0a3aa32397cdb050e233733900f` olarsa, GitHub Security Advisory-də göstərilən instansiyanı təhlükəsizləşdirmə addımları izlənilməlidir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| redash redash | v ≤ 10.0.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.