CVE-2023-41329
Təsvir
WireMock HTTP xidmətlərinin simulyasiyası üçün istifadə olunan bir alətdir. WireMock-un proksi rejimi, "Preventing proxying to and recording from specific target addresses" sənədində qeyd edildiyi kimi şəbəkə məhdudiyyətləri konfiqurasiyası ilə qoruna bilər. Bu məhdudiyyətlər domen adları vasitəsilə konfiqurasiya edilə bilər və belə olan halda konfiqurasiya DNS rebinding hücumlarına qarşı həssasdır. Oxşar yamaq WireMock 3.0.0-beta-15 versiyasında WireMock Webhook Extensions üçün tətbiq edilmişdi. Hücumun əsas səbəbi, ilkin təsdiqləmə ilə xaricə göndərilən şəbəkə sorğusu arasında DNS server ünvanının vaxtının bitməsi nəticəsində yaranan və qadağan olunmuş domenə yönlənməyə imkan verən yarış vəziyyətinə (race condition) yol açan məntiq xətasıdır. Bu hücumu reallaşdırmaq üçün DNS xidməti üzərində nəzarət tələb olunur, buna görə də onun icra mürəkkəbliyi yüksək, təsiri isə məhduddur. Bu problem wiremock-jre8 və wiremock-jre8-standalone-ın 2.35.1 versiyasında, wiremock və wiremock-standalone-ın 3.0.3 versiyasında, wiremock-un python versiyasının 2.6.1 versiyasında və wiremock/wiremock Docker konteynerinin 2.35.1-1 və 3.0.3-1 versiyalarında aradan qaldırılmışdır. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Yeniləmə imkanı olmayan istifadəçilər ya icazə verilən təyinat nöqtələrinin siyahısını müəyyən etmək üçün firewall qaydalarını konfiqurasiya etməli, ya da WireMock-u domen adları əvəzinə IP ünvanlarından istifadə etmək üçün tənzimləməlidir.
Necə düzəltmək olar
- wiremock python_wiremock2.6.1 və ya daha yeni versiya
- wiremock wiremock2.35.1, 3.0.3 və ya daha yeni versiya
- wiremock wiremock_docker2.35.1-1, 3.0.3-1 və ya daha yeni versiya
- org.wiremock:wiremock-standalone3.0.3 və ya daha yeni versiya
- org.wiremock:wiremock3.0.3 və ya daha yeni versiya
- com.github.tomakehurst:wiremock-jre82.35.1 və ya daha yeni versiya
- com.github.tomakehurst:wiremock-jre8-standalone2.35.1 və ya daha yeni versiya
- wiremock2.6.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wiremock python_wiremock | v < 2.6.1 | 2.6.1 |
| wiremock studio | v ≤ 2.32.0-17 | — |
| wiremock wiremock | v < 2.35.1, 3.0.0 ≤ v < 3.0.3 | 2.35.1, 3.0.3 |
| wiremock wiremock_docker | 2.0.0 ≤ v < 2.35.1-1, 3.0.0 ≤ v < 3.0.3-1 | 2.35.1-1, 3.0.3-1 |
| org.wiremock:wiremock-standaloneMaven | v < 3.0.3 | 3.0.3 |
| org.wiremock:wiremockMaven | v < 3.0.3 | 3.0.3 |
| com.github.tomakehurst:wiremock-jre8Maven | v < 2.35.1 | 2.35.1 |
| com.github.tomakehurst:wiremock-jre8-standaloneMaven | v < 2.35.1 | 2.35.1 |
| wiremockPyPI | v < 2.6.1 | 2.6.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.