CVE-2022-31122
Təsvir
Wire şifrələnmiş kommunikasiya və əməkdaşlıq platformasıdır. 2022-07-12/Chart 4.19.0 versiyalarından əvvəlki versiyalarda Token Recipient Confusion zəifliyi mövcuddur. Əgər hücumçu SAML IdP metadata-nın müəyyən detallarına sahibdirsə və eyni backend üzərində öz SAML konfiqurasiyasını qurursa, hədəf komandanın bütün SAML ilə autentifikasiya olunmuş hesablarını silə bilər, hücuma məruz qalan komandanın istifadəçisi kimi autentifikasiyadan keçə bilər və əgər komanda SCIM tərəfindən idarə edilmirsə, həmin komanda kontekstində ixtiyari hesablar yarada bilər. Bu problem wire-server 2022-07-12 versiyasında düzəldilmişdir və artıq bütün Wire idarə olunan xidmətlərində tətbiq edilmişdir. Backend-lərin daha artıq təsir altında qalmaması üçün wire-server-in on-premise nümunələri 2022-07-12/Chart 4.19.0 versiyasına yenilənməlidir. Alternativ həll yolu kimi, komandalar üçün SAML konfiqurasiyasının deaktiv edilməsi ilə (galley.config.settings.featureFlags.sso) hücum riski azaldıla bilər. Helm override-ları `values/wire-server/values.yaml` faylında yerləşir. Qeyd edək ki, on-premise quraşdırmaları üçün komanda səviyyəsində SAML SSO konfiqurasiyası etmək imkanı standart olaraq deaktivdir.
Necə düzəltmək olar
- wire wire_server2022-07-12 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wire wire_server | v < 2022-07-12 | 2022-07-12 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.