CVE-2022-29248
Təsvir
Guzzle PHP HTTP klientidir. Guzzle-ın 6.5.6 və 7.4.3 versiyalarından əvvəlki versiyalarında cookie middleware ilə bağlı zəiflik mövcuddur. Zəiflik ondan ibarətdir ki, cookie domeninin Set-Cookie başlığı vasitəsilə cookie təyin edən serverin domeni ilə eyni olub-olmadığı yoxlanılmır, bu da bədniyyətli serverə əlaqəsiz domenlər üçün cookielər təyin etməyə imkan verir. Cookie middleware standart olaraq söndürülmüşdür, buna görə də kitabxananın istifadəçilərinin çoxu bu problemdən təsirlənməyəcək. Yalnız cookie middleware-i handler stekine əllə əlavə edənlər və ya klienti ['cookies' => true] ilə quranlar təsirlənir. Bundan əlavə, birdən çox domeni çağırmaq üçün eyni Guzzle klientindən istifadə etməyənlər və yönləndirmə ötürməni (redirect forwarding) söndürənlər bu zəiflikdən təsirlənmirlər. Guzzle-ın 6.5.6 və 7.4.3 versiyaları bu problem üçün yamı ehtiva edir. Müvəqqəti həll yolu kimi cookie middleware-i söndürün.
Necə düzəltmək olar
- guzzlephp guzzle6.5.6, 7.4.3 və ya daha yeni versiya
- drupal drupal9.2.20, 9.3.14 və ya daha yeni versiya
- drupal/core9.2.20, 9.3.14 və ya daha yeni versiya
- guzzlehttp/guzzle6.5.6, 7.4.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| guzzlephp guzzle | v < 6.5.6, 7.0.0 ≤ v < 7.4.3 | 6.5.6, 7.4.3 |
| drupal drupal | 9.2.0 ≤ v < 9.2.20, 9.3.0 ≤ v < 9.3.14 | 9.2.20, 9.3.14 |
| debian debian_linux | 11.0 | — |
| drupal/corePackagist | 8.0.0 ≤ v < 9.2.20, 9.3.0 ≤ v < 9.3.14 | 9.2.20, 9.3.14 |
| guzzlehttp/guzzlePackagist | v < 6.5.6, 7.0.0 ≤ v < 7.4.3 | 6.5.6, 7.4.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.