CVE-2023-38492

Kirby məzmun idarəetmə sistemidir. 3.5.8.3, 3.6.6.3, 3.7.5.2, 3.8.4.1 və 3.9.6 versiyalarından əvvəlki versiyalardakı bir boşluq, istifadəçi hesabları olan bütün Kirby saytlarına təsir edir (config faylında Kirby-nin API və Paneli deaktiv edilməyibsə). Bu boşluğun real dünyadakı təsiri məhduddur, lakin daha ciddi boşluqları da aradan qaldırdığı üçün yamalanmış versiyalardan birinə yeniləməyi tövsiyə edirik. Kirby-nin autentifikasiya nöqtəsi parol uzunluğuna məhdudiyyət qoymamışdı. Bu, hücumçulara serverin maksimum sorğu gövdəsi uzunluğuna qədər parol daxil etməyə imkan verirdi. Həmin parolu istifadəçinin aktual parolu ilə yoxlamaq üçün təqdim olunan parolun heşlənməsi tələb olunur ki, bu da parol nə qədər uzun olsa, bir o qədər çox CPU və yaddaş resursu (və buna görə də emal vaxtı) tələb edir. Hücumçu bundan vebsaytı cavabsız və ya əlçatmaz hala gətirmək üçün istifadə edə bilərdi. Kirby daxili brute force mühafizəsi ilə təchiz olunduğu üçün, bu boşluğun təsiri hər IP ünvanı üçün saatda 10 uğursuz giriş cəhdi və mövcud hər bir istifadəçi üçün saatda 10 uğursuz giriş cəhdi ilə məhdudlaşır. Problem Kirby 3.5.8.3, 3.6.6.3, 3.7.5.2, 3.8.4.1 və 3.9.6 versiyalarında aradan qaldırılıb. Qeyd olunan bütün buraxılışlarda, developerlər təsirə məruz qalan koda parol uzunluğu məhdudiyyətləri əlavə etmişlər, beləliklə, həm parol təyin edilərkən, həm də giriş zamanı 1000 baytdan uzun olan parollar dərhal bloklanır.