CVE-2022-31066
Təsvir
EdgeX Foundry, Əşyaların İnterneti (IoT) kənar hesablamaları üçün ümumi açıq çərçivənin qurulmasına yönəlmiş açıq mənbəli layihədir. Versiya 2.1.1-dən əvvəlki versiyalarda `/api/v2/config` son nöqtəsi (endpoint), lokal autentifikasiya olunmamış istifadəçilərə mesaj şinası (message bus) etibarlılıq məlumatlarını ifşa edir. Təhlükəsizlik rejiminin aktiv olduğu halda, mesaj şinasının etibarlılıq məlumatları EdgeX gizli anbarında saxlanılmalı və onlara giriş üçün autentifikasiya tələb olunmalıdır. Bu zəiflik, təhlükəsizlik rejimi aktiv olduqda mesaj şinasının etibarlılıq məlumatlarına tətbiq edilən giriş nəzarətini yan keçir. (Təhlükəsizlik rejimi deaktiv olduqda heç bir etibarlılıq məlumatı tələb olunmur). Nəticədə, hücumçular EdgeX mesaj şinasından məlumatları ələ keçirə və ya ora saxta məlumatlar yerləşdirə bilərlər. İstifadəçilər yamkı almaq üçün EdgeXFoundry Kamakura buraxılışına (2.2.0) və ya iyun 2022-ci il EdgeXFoundry LTS Jakarta buraxılışına (2.1.1) yeniləmə etməlidirlər. Hansı go modullarının, docker konteynerlərinin və snap-lərin yamkıları ehtiva etdiyi barədə daha ətraflı məlumat GitHub Security Advisory-də mövcuddur. Hazırda bu problem üçün məlum olan alternativ həll yolları yoxdur.
Necə düzəltmək olar
- edgexfoundry edgex_foundry2.1.1 və ya daha yeni versiya
- github.com/edgexfoundry/device-sdk-go/v22.1.1 və ya daha yeni versiya
- github.com/edgexfoundry/app-functions-sdk-go/v22.1.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| edgexfoundry edgex_foundry | v < 2.1.1 | 2.1.1 |
| github.com/edgexfoundry/device-sdk-go/v2Go | v < 2.1.1 | 2.1.1 |
| github.com/edgexfoundry/app-functions-sdk-go/v2Go | v < 2.1.1 | 2.1.1 |
| github.com/edgexfoundry/app-functions-sdk-goGo | Aralıq göstərilməyib | — |
| github.com/edgexfoundry/device-sdk-goGo | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.