CVE-2024-49358
Təsvir
ZimaOS, Zima cihazları və UEFI ilə təmin edilmiş x86-64 sistemləri üçün əməliyyat sistemi olan CasaOS-un çatallanmasıdır (fork). Versiya 1.2.4 və bütün əvvəlki versiyalarda, ZimaOS-dakı `http://<Server-IP>/v1/users/login` API son nöqtəsi istifadəçi adının mövcud olub-olmamasından və ya şifrənin yanlış olmasından asılı olaraq fərqli cavablar qaytarır. Bu davranış istifadəçi adlarının sadalanması (username enumeration) üçün istismar edilə bilər ki, bu da hücumçulara sistemdə müəyyən bir istifadəçinin olub-olmadığını müəyyən etməyə imkan verir. Hücumçular bu məlumatdan credentials stuffing və ya hədəflənmiş şifrə sındırma (brute-forcing) kimi növbəti hücumlarda istifadə edə bilərlər. Nəşr edildiyi tarixə etibarən heç bir yamalı versiya mövcud deyil.
Necə düzəltmək olar
- zimaspace zimaos1.2.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| zimaspace zimaos | v < 1.2.5 | 1.2.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.