CVE-2024-27918

Coder təşkilatlara Terraform vasitəsilə uzaqdan işlənmə mühitlərinin təmin edilməsinə imkan verir. Versiyalar 2.6.1, 2.7.3 və 2.8.4-dən əvvəlki versiyalarda Coder-in OIDC autentifikasiyasındakı zəiflik hücumçuya `CODER_OIDC_EMAIL_DOMAIN` yoxlamasından yan keçməyə və icazə verilənlər siyahısında olmayan e-poçt ilə hesab yaratmağa imkan verə bilərdi. Tətbiqlər yalnız OIDC provayderi istifadəçilərə provayderdə hesab yaratmağa icazə verdiyi halda təsirlənir. OIDC qeydiyyatı zamanı istifadəçinin e-poçtu icazə verilən `CODER_OIDC_EMAIL_DOMAIN`-lərə qarşı düzgün şəkildə yoxlanılmırdı. Bu, domen adı icazə verilən domenlə yalnız qismən uyğunlaşan bir istifadəçinin uğurla daxil olmasına və ya qeydiyyatdan keçməsinə şərait yarada bilərdi. Hücumçu bu zəiflikdən istifadə edən domen adı qeydiyyatdan keçirə və ictimai OIDC provayderi olan Coder instansiyasında qeydiyyatdan keçə bilərdi. OIDC aktiv edilmiş və `CODER_OIDC_EMAIL_DOMAIN` konfiqurasiyası ilə qorunan Coder instansiyaları təsirlənir. Şəxsi OIDC provayderindən istifadə edən Coder instansiyaları təsirlənmir, çünki ixtiyari istifadəçilər əvvəlcə provayderdə hesaba sahib olmadan şəxsi OIDC provayderi vasitəsilə qeydiyyatdan keçə bilməzlər. İctimai OIDC provayderləri təsirlənir. GitHub autentifikasiyası və xarici autentifikasiya təsirlənmir. Bu zəiflik 2.8.4, 2.7.3 və 2.6.1 versiyalarında aradan qaldırılmışdır. Bu yamalardan əvvəlki bütün versiyalar zəiflikdən təsirlənir. `CODER_OIDC_EMAIL_DOMAIN` parametrləri ilə OIDC autentifikasiyasından istifadə edən müştərilərə tətbiqlərini mümkün qədər tez yeniləmələri tövsiyə olunur.