CVE-2023-32315
Təsvir
Openfire, Open Source Apache License altında lisenziyalaşdırılmış bir XMPP serveridir. Veb əsaslı tətbiq olan Openfire-ın inzibati konsolunda (administrative console), quraşdırma mühiti vasitəsilə yol keçidi (path traversal) hücumuna qarşı həssaslıq aşkar edilmişdir. Bu, autentifikasiya olunmamış istifadəçiyə artıq konfiqurasiya edilmiş Openfire mühitində autentifikasiya olunmamış Openfire Setup Environment-dən istifadə edərək, Openfire Admin Console-da yalnız inzibatçı istifadəçilər üçün nəzərdə tutulmuş məhdudlaşdırılmış səhifələrə daxil olmağa imkan verirdi. Bu zəiflik 2015-ci ilin aprel ayından etibarən buraxılan və versiya 3.10.0 ilə başlayan bütün Openfire versiyalarına təsir edir. Problem Openfire-ın 4.7.5 və 4.6.8 buraxılışlarında aradan qaldırılmışdır və gələcəkdə buraxılacaq 4.8 budağının ilk versiyasına (versiya 4.8.0 olacağı gözlənilir) daha çox təkmilləşdirmələr əlavə ediləcəkdir. İstifadəçilərə yeniləmə etmeleri tövsiyə olunur. Əgər konkret buraxılış üçün Openfire yeniləməsi mövcud deyilsə və ya sürətli şəkildə tətbiq edilə bilmirsə, istifadəçilər risklərin azaldılması üçün əlaqəli GitHub məsləhətinə (GHSA-gw42-f939-fhvm) baxa bilərlər.
Necə düzəltmək olar
İstehsalçının tövsiyə etdiyi tədbirləri tətbiq edin. Tədbir yoxdursa, məhsuldan istifadəni dayandırın.
CISA son tarixi: 14 sen 2023- igniterealtime openfire4.6.8, 4.7.5 və ya daha yeni versiya
- org.igniterealtime.openfire:xmppserver4.6.8, 4.7.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| igniterealtime openfire | 3.10.0 ≤ v < 4.6.8, 4.7.0 ≤ v < 4.7.5 | 4.6.8, 4.7.5 |
| org.igniterealtime.openfire:xmppserverMaven | 3.10.0 ≤ v < 4.6.8, 4.7.0 ≤ v < 4.7.5 | 4.6.8, 4.7.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.