CVE-2023-46125
Təsvir
Fides, runtime mühitində məlumat məxfiliyi sorğularının yerinə yetirilməsini idarə etmək və məxfilik tənzimləmələrinin kodda tətbiqi üçün açıq mənbəli məxfiliyə yönəlmiş mühəndislik platformasıdır. Fides veb server API-si istifadəçilərə `GET api/v1/config` son nöqtəsi vasitəsilə onun konfiqurasiyasını əldə etməyə imkan verir. Konfiqurasiya məlumatları istifadəçiyə qaytarılmazdan əvvəl ən həssas konfiqurasiya məlumatlarını gizlətmək üçün filtrlənir, lakin hətta filtrlənmiş məlumatlar belə müxtəlif parametrlər, server ünvanları və portlar, habelə verilənlər bazasının istifadəçi adı kimi daxili struktur və backend infrastrukturu haqqında məlumatlar ehtiva edir. Bu məlumatlar həm inzibati istifadəçilər, həm də hücumçular üçün faydalıdır, buna görə də aşağı imtiyazlı istifadəçilərə açıqlanmamalıdır. Bu zəiflik, Admin UI istifadəçilərinə sahib (owner) rolundan daha aşağı rollara malik olanlara (məsələn, baxıcı (viewer) roluna) API vasitəsilə konfiqurasiya məlumatlarını əldə etməyə imkan verir. Zəiflik Fides versiya `2.22.1`-də aradan qaldırılmışdır.
Necə düzəltmək olar
- ethyca fides2.22.1 və ya daha yeni versiya
- ethyca-fides2.22.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ethyca fides | v < 2.22.1 | 2.22.1 |
| ethyca-fidesPyPI | v < 2.22.1 | 2.22.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.