CVE-2022-32290
Təsvir
Northern.tech Mender 3.2.0, 3.2.1 və 3.2.2 versiyalarındakı klientdə Yanlış Giriş Nəzarəti mövcuddur. O, təsadüfi, imtiyazsız bir TCP portunda dinləmə aparır və cihazda işləyən əlavə klient komponentlərindən API çağırışlarını asanlaşdırmaq üçün HTTP proksisini təmin edir. Lakin o, yalnız localhost interfeysi əvəzinə bütün şəbəkə interfeyslərində dinləmə aparır. Buna görə də, eyni şəbəkədəki hər hansı klient bu TCP portuna qoşula və HTTP sorğuları göndərə bilər. Mender Klienti bu sorğuları Mender Server-ə yönləndirəcəkdir. Əlavə olaraq, əgər mTLS tənzimlənibsə, Mender Klienti Mender Server-ə cihazın klient sertifikatını istifadə edərək qoşulacaqdır ki, bu da hücumçunun mTLS autentifikasiyasından yan keçməsinə və klient sertifikatına və əlaqəli gizli açara birbaşa çıxışı olmadan Mender Server-ə sorğular göndərməsinə imkan verir. Yerli şəbəkədən HTTP proksisinə giriş birbaşa təhlükə yaratmır, çünki o, heç bir cihaza və ya serverə məxsus məlumatları üzə çıxarmır. Bununla belə, bu, hücum səthini artırır və həm Klientdə, həm də Serverdə digər boşluqlardan istifadə etmək üçün potensial vektor ola bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| northern.tech mender | 3.2.0, 3.2.1, 3.2.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.