CVE-2024-35196

Sentry tərtibatçılar üçün nəzərdə tutulmuş xətaların izlənilməsi və performansın monitorinqi platformasıdır. Sentry-nin Slack inteqrasiyası daxil olan sorğu gövdəsini loqlarda yanlış şəkildə qeyd edir. Bu sorğu məlumatları, artıq istifadə edilməyən Slack verifikasiya tokeni də daxil olmaqla, həssas məlumatlar ehtiva edə bilər. Müəyyən konfiqurasiyalar altında bu verifikasiya tokeni ilə hücumçunun saxta sorğular göndərməsi və Slack inteqrasiyası kimi hərəkət etməsi mümkündür. Sorğu gövdəsi `event == "slack.*" && name == "sentry.integrations.slack" && request_data == *` şərtinə uyğun gələn loq yazılarında sızır. Artıq istifadə edilməyən Slack verifikasiya tokeni `request_data.token` açarında tapılacaq. **SaaS istifadəçilərinin** heç bir tədbir görməsinə ehtiyac yoxdur. **Öz serverində quraşdıran (self-hosted) istifadəçilər** versiyanı 24.5.0 və ya daha yüksəyinə yüksəltməli, Slack verifikasiya tokenlərini yeniləməli və verifikasiya tokeni əvəzinə Slack Signing Secret-dən istifadə etməlidirlər. Öz serverində quraşdırdığı konfiqurasiyada yalnız `slack.signing-secret`-dən istifadə edən istifadəçilər üçün köhnə verifikasiya tokenindən webhook fayllarının təsdiqi üçün istifadə olunmur; o, nəzərə alınmır. Yeniləmə imkanı olmayan istifadəçilər `slack.verification-token` əvəzinə `slack.signing-secret` parametrini təyin etməlidirlər. İmza sirri (signing secret), Slack tərəfindən webhook-ların autentifikasiyası üçün tövsiyə olunan üsuldur. `slack.singing-secret` təyin edildikdə, `slack.verification-token` təyin edilib-edilməməsindən asılı olmayaraq, Sentry self-hosted artıq webhook-ların autentifikasiyası üçün verifikasiya tokenindən istifadə etməyəcək. Alternativ olaraq, əgər self-hosted instansiya yenilənə və ya `slack.signing-secret` istifadə etmək üçün yenidən konfiqurasiya edilə bilmirsə, inteqrasiyadan loqların yaradılmaması üçün loqlama konfiqurasiyası tənzimlənə bilər. Defolt loqlama konfiqurasiyasını `src/sentry/conf/server.py` faylında tapmaq olar. **Konfiqurasiya dəyişikliyi yadda saxlanıldıqdan sonra xidmətlər yenidən başladılmalıdır.**