CVE-2023-36827
Təsvir
Fides, icra mühitində məlumatların məxfiliyi ilə bağlı sorğuların yerinə yetirilməsini idarə etmək və məxfilik qaydalarının kodda tətbiqini təmin etmək üçün açıq mənbəli məxfilik mühəndisliyi platformasıdır. Yol keçmə (qovluq keçmə) zəifliyi `2.15.1` versiyasından aşağı olan fides versiyalarına təsir edir və uzaqdan hücum edənlərə fides veb-server konteynerinin fayl sistemindəki ixtiyari fayllara giriş imkanı verir. Zəiflik fides `2.15.1` versiyasında aradan qaldırılıb. Əgər Fides veb-server API-si hücum edənlər üçün birbaşa əlçatan deyilsə və bunun əvəzinə Ethyca-nın təhlükəsizlik üzrə ən yaxşı təcrübələr sənədində tövsiyə olunduğu kimi əks proxy arxasında yerləşdirilibsə və əks proxy AWS application load balancer-ddirsə, zəiflikdən bu hücum edənlər istifadə edə bilməzlər. AWS application load balancer bu hücumu 400 xətası ilə rədd edəcək. Bundan əlavə, `fides.toml` konfiqurasiya faylı əvəzinə mühit dəyişənləri vasitəsilə konteynerə verilən istənilən sirr bu zəiflikdən təsirlənmir.
Necə düzəltmək olar
- ethyca fides2.15.1 və ya daha yeni versiya
- ethyca-fides2.15.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ethyca fides | v < 2.15.1 | 2.15.1 |
| ethyca-fidesPyPI | v < 2.15.1 | 2.15.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.