CVE-2023-31442
Təsvir
Lightbend Akka-nın 2.8.1 versiyasından əvvəlki versiyalarında, async-dns resolver (DNS rejimində Discovery və dolayı yolla Cluster Bootstrap tərəfindən istifadə olunur) DNS qeydlərini həll edərkən təxmin edilə bilən DNS tranzaksiya ID-lərindən istifadə edir ki, bu da DNS həllinin hücumçu tərəfindən zəhərlənməsinə (poisoning) şərait yaradır. Əgər kəşf prosesini yerinə yetirən tətbiq kəşf edilmiş xidmətin autentikliyini (məsələn, TLS vasitəsilə) təsdiqləmirsə, bu, tətbiq məlumatlarının sızmasına səbəb ola bilər (məsələn, davamlılıq hadisələri nəzərdə tutulmayan Kafka brokerinə göndərilə bilər). Əgər belə bir təsdiqləmə aparılırsa, onda zəhərlənmə nəzərdə tutulan xidmətə girişin bloklanması ilə nəticələnir. Bu problem Akka 2.5.14-dən 2.8.0-a qədər olan versiyalara və Akka Discovery 2.8.0 daxil olmaqla bütün versiyalara təsir göstərir.
Necə düzəltmək olar
- lightbend akka_actor2.8.1 və ya daha yeni versiya
- lightbend akka_discovery2.8.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lightbend akka_actor | 2.5.14 ≤ v < 2.8.1 | 2.8.1 |
| lightbend akka_discovery | v < 2.8.1 | 2.8.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.