CVE-2024-41656
Təsvir
Sentry xətaların izlənilməsi və performansın monitorinqi platformasıdır. Versiya 10.0.0-dan başlayaraq versiya 24.7.1-ə qədər olan versiyalarda, İnteqrasiya platforması tərəfindən göndərilən təmizlənməmiş faydalı yük (payload), ixtiyari HTML teqlərinin Sentry tərəfində saxlanılmasına və sonradan onların Issues səhifəsində render edilməsinə şərait yaradır. Öz serverində quraşdıran (self-hosted) Sentry istifadəçiləri, etibarsız İnteqrasiya platformalarının öz tərəflərindən Sentry-yə xarici məsələlər göndərməsi halında təsirə məruz qala bilərlər. Sentry 24.7.1 versiyasında yamaq dərc edilmişdir. Sentry SaaS müştəriləri üçün heç bir tədbir tələb olunmur. Bu problem iyulun 23-də aradan qaldırılmışdır və hətta düzəlişdən əvvəl də sentry.io saytında tətbiq edilmiş ciddi Məzmun Təhlükəsizlik Siyasəti (Content Security Policy - CSP) səbəbindən istismar mümkün olmayıb. Öz serverində quraşdıran istifadəçilər üçün Sentry administratorları proqramı ən son versiyaya yeniləməyi şiddətlə tövsiyə edirlər. Əgər bu mümkün deyilsə, öz serverindəki quraşdırmada `CSP_REPORT_ONLY = False` (icra rejimi) ilə CSP aktivləşdirilə bilər. Bu, saytlararası skriptinq (XSS) riskini azaldacaqdır.
Necə düzəltmək olar
- sentry sentry24.7.1 və ya daha yeni versiya
- sentry24.7.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| sentry sentry | 10.0.0 ≤ v < 24.7.1 | 24.7.1 |
| sentryPyPI | 10.0.0 ≤ v < 24.7.1 | 24.7.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.