CVE-2023-41050
Təsvir
AccessControl, Zope-da istifadə üçün ümumi təhlükəsizlik çərçivəsi təmin edir. Python-un "format" funksionallığı, format sətrinə nəzarət edən şəxsə əlçatan obyektlərdən atribut giriş və abunəlik vasitəsilə (rekursiv olaraq) həmin obyektləri "oxumağa" imkan verir. Bu atribut girişləri və abunəliklər Python-un tam `getattr` və `getitem` funksiyalarından istifadə edir, AccessControl-ün siyasətlə məhdudlaşdırılmış `_getattr_` və `_getitem_` variantlarından yox. Bu, kritik məlumatların sızmasına səbəb ola bilər. `AccessControl` artıq `str.format` üçün təhlükəsiz variant təklif edir və `string.Formatter`-ə girişi rədd edir. Lakin `str.format_map` hələ də təhlükəsiz deyil. Etkilənən tərəflər etibarsız istifadəçilərə `AccessControl` tərəfindən idarə olunan Python kodu yaratmağa və onu icra etməyə icazə verən bütün istifadəçilərdir. Düzəliş 4.4, 5.8 və 6.2 versiyalarında tətbiq edilmişdir. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Bu zəiflik üçün məlum olan heç bir alternativ həll yolu yoxdur.
Necə düzəltmək olar
- zope accesscontrol4.4, 5.8, 6.2 və ya daha yeni versiya
- zope zope4.8.9, 5.8.4 və ya daha yeni versiya
- accesscontrol4.4, 5.8, 6.2 və ya daha yeni versiya
- zope4.8.9, 5.8.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| zope accesscontrol | v < 4.4, 5.0 ≤ v < 5.8, 6.0 ≤ v < 6.2 | 4.4, 5.8, 6.2 |
| zope zope | v < 4.8.9, 5.0 ≤ v < 5.8.4 | 4.8.9, 5.8.4 |
| accesscontrolPyPI | v < 4.4, 5.0 ≤ v < 5.8, 6.0 ≤ v < 6.2 | 4.4, 5.8, 6.2 |
| zopePyPI | v < 4.8.9, 5.0.0 ≤ v < 5.8.4 | 4.8.9, 5.8.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.