CVE-2022-24797
Təsvir
Pomerium kimlik məlumatlarından xəbərdar olan giriş proksisidir. Paylanmış xidmət rejimində Pomerium-un Authenticate xidməti pprof sazlama və prometheus metrika handler-lərini etibarsız trafik üçün açıq saxlayır. Bu, potensial olaraq həssas mühit məlumatlarının sızmasına və ya məhdud xidmətdən imtina hallarının yaranmasına səbəb ola bilər. Bu problem v0.17.1 versiyasında aradan qaldırılıb. Alternativ həll yolları: Authenticate xidmətində `/debug` və `/metrics` yollarına girişi bloklayın. Bunu Pomerium-un öz proksi xidməti də daxil olmaqla hər hansı L7 proksisi ilə etmək olar.
Necə düzəltmək olar
- pomerium pomerium0.17.1 və ya daha yeni versiya
- github.com/pomerium/pomerium0.17.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pomerium pomerium | 0.16.0 ≤ v < 0.17.1 | 0.17.1 |
| github.com/pomerium/pomeriumGo | 0.16.0 ≤ v < 0.17.1 | 0.17.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.