CVE-2022-28345
Təsvir
iOS üçün Signal tətbiqinin 5.34 versiyasından əvvəlki versiyaları RTLO inyeksiyası vasitəsilə URI spoofing-inə şərait yaradır. Tətbiq, URL-də heş (#) simvolu olduqda və bölünməz boşluqla başlayan RTLO kodlaşdırılmış URL-ləri yanlış render edir. Bu texnika uzaqdakı autentifikasiya olunmamış hücumçuya URL-lərin avtomatik non-http/non-https render edilməsindən istifadə edərək hər hansı vebsayt URL-i kimi görünən legitim linklər göndərməyə imkan verir. Hücumçu, məsələn, example.com saytını spoof edə bilər və zərərli təyinatlı hər hansı URL-i maskalaya bilər. Hücumçunun müvafiq olaraq jpeg, txt, pdf və docx kimi tərs görünən gepj, txt, fdp və ya xcod kimi alt domenə ehtiyacı var.
Necə düzəltmək olar
- signal signal5.34 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| signal signal | v < 5.34 | 5.34 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.