CVE-2024-25623
Təsvir
Mastodon ActivityPub əsaslı pulsuz, açıq mənbəli sosial şəbəkə serveridir. 4.2.7, 4.1.15, 4.0.15 və 3.5.19 versiyalarından əvvəl Mastodon uzaq statusları əldə edərkən uzaq serverdən gələn cavabın `Content-Type` başlığının Activity Streams media tipinə uyğun olduğunu yoxlamır ki, bu da təhdid aktyoruna uzaq serverə hazırlanmış Activity Streams sənədi yükləməyə və uzaq server ixtiyari istifadəçi yükləmələrini qəbul edərsə, Mastodon serverinin onu əldə etməsinə imkan verir. Zəiflik təhdid aktyoruna aşağıdakı bütün xassələri ödəyən uzaq serverdə hesabı saxtalaşdırmağa imkan verir: hücumçuya hesab qeydiyyatdan keçirməyə imkan verir; ixtiyari istifadəçi tərəfindən yüklənmiş sənədləri qəbul edir və onları ActivityPub aktyorları ilə eyni domenə yerləşdirir; və `Accept` başlığının dəyəri Activity Streams media tipi olan sorğulara cavab olaraq istifadəçi tərəfindən yüklənmiş sənədi təqdim edir. 4.2.7, 4.1.15, 4.0.15 və 3.5.19 versiyaları bu məsələ üçün düzəliş ehtiva edir.
Necə düzəltmək olar
- joinmastodon mastodon3.5.19, 4.0.15, 4.1.15, 4.2.7 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| joinmastodon mastodon | v < 3.5.19, 4.0.0 ≤ v < 4.0.15, 4.1.0 ≤ v < 4.1.15, 4.2.0 ≤ v < 4.2.7 | 3.5.19, 4.0.15, 4.1.15, 4.2.7 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.