CVE-2023-44399
Təsvir
ZITADEL kimlik infrastrukturu təmin edir. 2.37.2 və daha əvvəlki versiyalarda ZITADEL administratorları istifadəçi adlarını təxmin etməyə/sadalamağa çalışan hücumların qarşısını almağa kömək edən "Ignoring unknown usernames" adlı parametri aktivləşdirə bilərlər. Bu parametr autentifikasiya prosesi zamanı düzgün işləsə də, şifrənin sıfırlanması axınında düzgün işləmir. Bu o deməkdir ki, hətta bu funksiya aktiv olsa belə, hücumçu ZITADEL-də müvafiq hesabın mövcud olub-olmadığını yoxlamaq üçün şifrənin sıfırlanması funksiyasından istifadə edə bilərdi. Bu xəta 2.37.3 və 2.38.0 versiyalarında aradan qaldırılıb. Heç bir məlum alternativ həll yolu mövcud deyil.
Necə düzəltmək olar
- github.com/zitadel/zitadel2.37.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| zitadel zitadel | v ≤ 2.37.2 | — |
| github.com/zitadel/zitadelGo | v < 2.37.3 | 2.37.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.