CVE-2022-31115
Təsvir
opensearch-ruby, elasticsearch-ruby-nin icma tərəfindən idarə olunan açıq mənbəli çatallanmasıdır (fork). 2.0.1 versiyasından əvvəlki versiyalarda `YAML.safe_load` əvəzinə ruby `YAML.load` funksiyasından istifadə edilmişdir. Nəticədə, əgər cavab YAML tipindədirsə, opensearch-ruby 2.0.0 və daha əvvəlki versiyalar `YAML.load` vasitəsilə təhlükəsiz olmayan deserializasiyaya səbəb ola bilər. Bu zəiflikdən istifadə etmək üçün hücumçu bir opensearch serverini idarə etməli və qurbanı həmin serverə qoşulmağa razı salmalıdır. Problem opensearch-ruby gem-inin 2.0.1 versiyasında aradan qaldırılmışdır. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Bu problem üçün məlum olan alternativ həll yolları yoxdur.
Necə düzəltmək olar
- amazon opensearch2.0.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| amazon opensearch | v < 2.0.2 | 2.0.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.