CVE-2023-37918
Təsvir
Dapr bulud və kənar hesablama (edge) üzrə paylanmış tətbiqlər qurmaq üçün portativ, hadisə əsaslı bir runtime-dır. Dapr-da düzgün hazırlanmış HTTP sorğusu vasitəsilə, Dapr sidecar-ın tətbiqdən gələn çağırışları autentifikasiya etmək üçün istifadə etdiyi API token autentifikasiyasından yan keçməyə imkan verən zəiflik aşkar edilmişdir. API token autentifikasiyasından istifadə edən istifadəçilərə Dapr versiyasını 1.10.9 və ya 1.11.2 versiyasına yüksəltməkləri tövsiyə olunur. Bu zəiflik API token autentifikasiyasını konfiqurasiya etmiş Dapr istifadəçilərinə təsir edir. Hücumçu elə bir sorğu hazırlaya bilər ki, həmin sorğuda `dapr-api-token` yanlış olsa və ya mövcud olmasa belə, Dapr sidecar tərəfindən HTTP üzərindən həmişə icazə verilsin. Problem Dapr 1.10.9 və ya 1.11.2 versiyalarında aradan qaldırılmışdır. Bu zəiflik üçün məlum olan heç bir alternativ həll yolu yoxdur.
Necə düzəltmək olar
- linuxfoundation dapr1.10.9, 1.11.2 və ya daha yeni versiya
- github.com/dapr/dapr1.11.2, 1.10.9 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| linuxfoundation dapr | v < 1.10.9, 1.11.0 ≤ v < 1.11.2 | 1.10.9, 1.11.2 |
| github.com/dapr/daprGo | 1.11.0 ≤ v < 1.11.2, v < 1.10.9 | 1.11.2, 1.10.9 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.