CVE-2024-39925
Təsvir
Vaultwarden (əvvəlki Bitwarden_RS) 1.30.3 versiyasında bir problem aşkar edilmişdir. Təşkilatdan ayrılan üzvlər üçün çıxış prosesi mövcud deyil. Nəticədə, üzv təşkilatı tərk etdikdə ortaq təşkilat açarı yenilənmir. Beləliklə, girişi ləğv edilməli olan ayrılan üzv təşkilat açarının surətini saxlayır. Əlavə olaraq, tətbiq serverdə saxlanılan bəzi şifrələnmiş məlumatları adekvat şəkildə qorumur. Nəticədə, autentifikasiya olunmuş istifadəçi hədəf təşkilatın üzvü olmasa belə, istənilən təşkilatın şifrələnmiş məlumatlarına icazəsiz giriş əldə edə bilər. Lakin istifadəçinin müvafiq organizationId-ni bilməsi tələb olunur. Buna görə də, əgər bir istifadəçi (təşkilata girişi ləğv edilmiş) artıq təşkilat açarına sahibdirsə, həmin istifadəçi sızdırılmış məlumatları şifrəsizləşdirmək üçün bu açardan istifadə edə bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| dani-garcia vaultwarden | 1.30.3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.