CVE-2023-26490
Təsvir
mailcow, bir körpülənmiş şəbəkədə birləşdirilmiş çoxsaylı konteynerləri olan dockerləşdirilmiş e-poçt paketidir. Standart istifadəçilərə lazımi icazə verilməklə əlçatan edilə bilən Sync Job funksiyası shell əmr inyeksiyasından əziyyət çəkir. Zərərli istifadəçi dovecot işləyən Docker konteynerinə shell girişi əldə etmək üçün bu zəiflikdən sui-istifadə edə bilər. imapsync Perl skripti XOAUTH2 autentifikasiya mexanizmi də daxil olmaqla bu funksiya üçün bütün lazımi funksionallığı həyata keçirir. Bu kod yolu openssl-i çağırmaq üçün shell əmri yaradır. Lakin göstərilən istifadəçi parolunun müxtəlif hissələri heç bir validasiya olmadan daxil edildiyindən, sadəcə əlavə shell əmrləri icra etmək mümkündür. Qeyd etmək lazımdır ki, yeni yaradılmış mailcow hesabı üçün standart ACL lazımi icazəni ehtiva etmir. Problem 2023-03 Yeniləməsi (3 mart 2023) çərçivəsində düzəldilmişdir. Müvəqqəti həll yolu kimi Syncjob ACL bütün poçt qutusu istifadəçilərindən silinə bilər ki, bu da mövcud Syncjob-ların yaradılmasının və ya dəyişdirilməsinin qarşısını alır.
Necə düzəltmək olar
- mailcow mailcow\2023-03 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mailcow mailcow\ | _dockerized ≤ v < 2023-03 | 2023-03 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.