CVE-2024-28855
Təsvir
Açıq mənbəli autentifikasiya idarəetmə proqram təminatı olan ZITADEL, giriş interfeysini (UI) render etmək üçün Go şablonlarından istifadə edir. `html/template` paketi əvəzinə `text/template` paketinin yanlış istifadəsi səbəbindən, Giriş UI-ı 2.47.3, 2.46.1, 2.45.1, 2.44.3, 2.43.9, 2.42.15 və 2.41.15 versiyalarından əvvəl daxil edilən parametrləri təmizləmirmişdir. Hücumçu zərərli keçid yarada bilərdi ki, burada onun yerləşdirdiyi kod giriş ekranının bir hissəsi kimi render olunardı. JavaScript də daxil olmaqla HTML kodlarının yerləşdirilməsi mümkün olsa da, belə skriptlərin icrası Content Security Policy tərəfindən qarşısı alınırdı. 2.47.3, 2.46.1, 2.45.1, 2.44.3, 2.43.9, 2.42.15 və 2.41.15 versiyaları bu problem üçün düzəliş ehtiva edir. Məlum olan alternativ həll yolları mövcud deyil.
Necə düzəltmək olar
- zitadel zitadel2.41.15, 2.42.15, 2.43.9, 2.44.3, 2.47.4 və ya daha yeni versiya
- github.com/zitadel/zitadel2.41.15, 2.42.15, 2.43.9, 2.44.3, 2.45.1, 2.46.1, 2.47.4, 0.0.0-20240311065202-07ec2efa9dc6, 1.80.0-v2.20.0.20240311065202-07ec2efa9dc6, 1.80.0-v2.20.0.20240312162750-5908b97e7c22 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| zitadel zitadel | v < 2.41.15, 2.42.0 ≤ v < 2.42.15, 2.43.0 ≤ v < 2.43.9, 2.44.0 ≤ v < 2.44.3, 2.47.0 ≤ v < 2.47.4, 2.45.0, 2.46.0 | 2.41.15, 2.42.15, 2.43.9, 2.44.3, 2.47.4 |
| github.com/zitadel/zitadelGo | 1.80.1 ≤ v < 2.41.15, 2.42.0 ≤ v < 2.42.15, 2.43.0 ≤ v < 2.43.9, 2.44.0 ≤ v < 2.44.3, 2.45.0 ≤ v < 2.45.1, 2.46.0 ≤ v < 2.46.1, 2.47.0 ≤ v < 2.47.4, v < 0.0.0-20240311065202-07ec2efa9dc6, 0.0.0 ≤ v < 1.80.0-v2.20.0.20240311065202-07ec2efa9dc6, v < 1.80.0-v2.20.0.20240312162750-5908b97e7c22 | 2.41.15, 2.42.15, 2.43.9, 2.44.3, 2.45.1, 2.46.1, 2.47.4, 0.0.0-20240311065202-07ec2efa9dc6, 1.80.0-v2.20.0.20240311065202-07ec2efa9dc6, 1.80.0-v2.20.0.20240312162750-5908b97e7c22 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.