CVE-2024-35182
Təsvir
Meshery, Kubernetes əsaslı infrastruktur və tətbiqlərin dizaynını və idarə edilməsini təmin edən açıq mənbəli, bulud yerli (cloud native) menecerdir. Versiya 0.7.22-dən əvvəlki Meshery versiyalarında mövcud olan SQL inyeksiyası zəifliyi, SQL inyeksiyası yığılmış sorğular (stacked queries) yükü və ATTACH DATABASE əmrindən istifadə etməklə ixtiyari faylların yazılmasına səbəb ola bilər. Əlavə olaraq, hücumçular verilənlər bazasında saxlanılan hər hansı məlumata, məsələn, performans profillərinə (hansı ki, sessiya kukiləri ehtiva edə bilər), Meshery tətbiqi məlumatlarına və ya sistemə əlavə edilmiş hər hansı Kubernetes konfiqurasiyasına daxil ola və onları dəyişdirə bilərlər. Meshery layihəsi `/api/v2/events` API URL ünvanında `GetAllEvents` funksiyasını təqdim edir. `events_streamer.go` faylında oxunan sort sorğu parametri `events_persister.go` faylında birbaşa SQL sorğusunu qurmaq üçün istifadə olunur. Versiya 0.7.22 bu problemi `SanitizeOrderInput` funksiyasından istifadə etməklə aradan qaldırır.
Necə düzəltmək olar
- layer5 meshery0.7.22 və ya daha yeni versiya
- github.com/layer5io/meshery0.7.22 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| layer5 meshery | v < 0.7.22 | 0.7.22 |
| github.com/layer5io/mesheryGo | v < 0.7.22, Aralıq göstərilməyib | 0.7.22 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.