CVE-2024-31214
Təsvir
Traccar açıq mənbəli GPS izləmə sistemidir. Traccar-ın 5.1-dən 5.12-dək versiyaları cihaz şəklinin yüklənməsi API-si vasitəsilə ixtiyari faylların yüklənməsinə imkan verir. Hücumçular faylın məzmununa tam nəzarət edir, faylın saxlandığı qovluğa tam nəzarət edir, faylın genişlənməsinə tam nəzarət edir və fayl adına qismən nəzarət edir. Hücumçunun mövcud faylın üzərinə yazması mümkün olmasa da, hücumçu fayl sistemində istənilən yerdə müəyyən adlarla və hücumçunun nəzarət etdiyi genişlənmələrlə yeni fayllar yarada bilər. Bu, potensial olaraq uzaqdan kodun icrasına, XSS-ə, DOS-a və s.-yə səbəb ola bilər. Traccar-ın standart quraşdırılması bu zəifliyi daha da ağırlaşdırır. Özünü qeydiyyat standart olaraq aktivdir və hər kəsə bu zəiflikdən istifadə etmək üçün hesab yaratmağa imkan verir. Traccar həmçinin standart olaraq root/system imtiyazları ilə işləyir və faylların fayl sistemində istənilən yerdə yerləşdirilməsinə imkan verir. 6.0 versiyası bu problemin düzəlişini ehtiva edir. Həmçinin özünü qeydiyyat standart olaraq söndürülə bilər, çünki bu, tətbiqdəki əksər zəifliklərin standart olaraq istismarını xeyli çətinləşdirər və ağırlığı əhəmiyyətli dərəcədə azaldar.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| traccar traccar | 5.1 ≤ v ≤ 5.12 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.