CVE-2022-31043
Təsvir
Guzzle açıq mənbəli PHP HTTP klientidir. Təsirə məruz qalan versiyalarda sorğulardakı `Authorization` başlıqları həssas məlumatlardır. `https` sxemi ilə, özü isə `http` sxemli URI-ya yönləndirmə (redirect) cavabı verən serverə sorğu göndərildikdə, `Authorization` başlığı ötürülməməlidir. Bu, host dəyişdikdə başlığın ötürülməməsi prinsipi ilə eynidir. Bu düzəlişdən əvvəl, yalnız host dəyişiklikləri zamanı `Authorization` başlığı silinirdi, `https`-dən `http`-yə keçidlər (downgrade) zamanı isə silinmirdi. Təsirə məruz qalan Guzzle 7 istifadəçiləri mümkün qədər tez Guzzle 7.4.4 versiyasına yüksəltmə etməlidirlər. Guzzle-ın daha əvvəlki seriyalarından istifadə edən təsirlənmiş istifadəçilər Guzzle 6.5.7 və ya 7.4.4 versiyalarına yüksəltmə etməlidirlər. Yüksəltmə imkanı olmayan istifadəçilər alternativ yanaşma kimi öz yönləndirmə (redirect) middleware-lərindən istifadə edə bilərlər. Alternativ olaraq, yönləndirmələr gözlənilmir və ya tələb olunmursa, istifadəçilər onları tamamilə deaktiv edə bilərlər.
Necə düzəltmək olar
- guzzlephp guzzle6.5.7, 7.4.4 və ya daha yeni versiya
- drupal drupal9.2.21, 9.3.16 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| guzzlephp guzzle | v < 6.5.7, 7.0.0 ≤ v < 7.4.4 | 6.5.7, 7.4.4 |
| drupal drupal | 9.2.0 ≤ v < 9.2.21, 9.3.0 ≤ v < 9.3.16, 9.4.0 | 9.2.21, 9.3.16 |
| debian debian_linux | 11.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.