CVE-2022-33683
Təsvir
Apache Pulsar Brokers və Proxies daxili bir Pulsar Admin Client yaradır ki, bu da konfiqurasiya vasitəsilə tlsAllowInsecureConnection söndürüldükdə belə, qarşı tərəfin TLS sertifikatlarını yoxlamır. Pulsar Admin Client-in klasterdaxili və geo-replikasiya HTTPS bağlantıları "man-in-the-middle" hücumlarına qarşı həssasdır ki, bu da autentifikasiya məlumatlarının, konfiqurasiya məlumatlarının və bu klientlər tərəfindən göndərilən hər hansı digər məlumatın sızmasına səbəb ola bilər. Hücumçu bu zəiflikdən yalnız klient və server arasındakı maşına nəzarət etməklə istifadə edə bilər. Hücumu həyata keçirmək üçün hücumçu trafikə aktiv şəkildə müdaxilə etməlidir. Bu problem Apache Pulsar Broker və Proxy versiyaları 2.7.0-dan 2.7.4-ə; 2.8.0-dan 2.8.3-ə; 2.9.0-dan 2.9.2-yə; 2.10.0; 2.6.4 və daha əvvəlki versiyalara təsir edir.
Necə düzəltmək olar
- apache pulsar2.7.5, 2.8.4, 2.9.3 və ya daha yeni versiya
- org.apache.pulsar:pulsar-broker2.7.5, 2.8.4, 2.9.3, 2.10.1 və ya daha yeni versiya
- org.apache.pulsar:pulsar-proxy2.7.5, 2.8.4, 2.9.3, 2.10.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache pulsar | v < 2.7.5, 2.8.0 ≤ v < 2.8.4, 2.9.0 ≤ v < 2.9.3, 2.10.0 | 2.7.5, 2.8.4, 2.9.3 |
| org.apache.pulsar:pulsar-brokerMaven | v < 2.7.5, 2.8.0 ≤ v < 2.8.4, 2.9.0 ≤ v < 2.9.3, 2.10.0 ≤ v < 2.10.1 | 2.7.5, 2.8.4, 2.9.3, 2.10.1 |
| org.apache.pulsar:pulsar-proxyMaven | v < 2.7.5, 2.8.0 ≤ v < 2.8.4, 2.9.0 ≤ v < 2.9.3, 2.10.0 ≤ v < 2.10.1 | 2.7.5, 2.8.4, 2.9.3, 2.10.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.