CVE-2022-31083
Təsvir
Parse Server, Node.js işlədə bilən hər hansı infrastrukturda tətbiq oluna bilən açıq mənbəli backend-dir. Versiya 4.10.11 və 5.2.2-dən əvvəlki versiyalarda Parse Server Apple Game Center auth adapterindəki sertifikat təsdiqlənmirdi. Nəticədə, müəyyən Apple domenləri vasitəsilə saxta sertifikatı əlçatan etmək və həmin sertifikatın URL-ni authData obyektində təqdim etməklə autentifikasiyadan yan keçmək mümkün ola bilərdi. Versiyalar 4.0.11 və 5.2.2, Parse Server Apple Game Center auth adapterinə Apple-ın Game Center autentifikasiya sertifikatının kök sertifikatının URL-ni qəbul edən yeni `rootCertificateUrl` xüsusiyyətini əlavə etməklə bunun qarşısını alır. Heç bir dəyər təyin edilmədikdə, `rootCertificateUrl` xüsusiyyəti standart olaraq 27 may 2022-ci il tarixinə olan cari kök sertifikatın URL-nə bərabər olur. Nəzərə alın ki, kök sertifikat istənilən vaxt dəyişə bilər və Parse Server Apple Game Center auth adapterindən istifadə edərkən kök sertifikat URL-ni aktual saxlamaq tərtibatçının öhdəliyindədir. Bu problem üçün məlum alternativ həll yolları yoxdur.
Necə düzəltmək olar
- parseplatform parse-server4.10.11, 5.2.2 və ya daha yeni versiya
- parse-server4.10.11, 5.2.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| parseplatform parse-server | v < 4.10.11, 5.0.0 ≤ v < 5.2.2 | 4.10.11, 5.2.2 |
| parse-servernpm | v < 4.10.11, 5.0.0 ≤ v < 5.2.2 | 4.10.11, 5.2.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.