CVE-2025-14987
Təsvir
system.enableCrossNamespaceCommands aktiv olduqda (defolt olaraq aktivdir), Temporal serveri müəyyən iş axışı tapşırıq əmrlərinin (məsələn, StartChildWorkflowExecution, SignalExternalWorkflowExecution, RequestCancelExternalWorkflowExecution) gRPC sərhədində səlahiyyət verilmiş namespace-dən fərqli bir namespace-ni hədəf seçməsinə icazə verir. Frontend, RespondWorkflowTaskCompleted əmrini xarici sorğu namespace-nə əsasən təsdiqləyir, lakin tarix xidməti (history service) daha sonra çağırana həmin hədəf namespace üçün səlahiyyət vermədən, əmr atributlarında yerləşmiş namespace-dən istifadə edərək əmri həll edir və icra edir. Bu, bir namespace üçün səlahiyyəti olan worker-ə digər namespace-də iş axınları yaratmağa, onlara siqnal göndərməyə və ya onları ləğv etməyə imkan verə bilər. Bu problem Temporal-ın 1.29.1 versiyasına qədər olan versiyalarına təsir edir. Problem 1.27.4, 1.28.2 və 1.29.2 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- go.temporal.io/server1.27.4, 1.28.2, 1.29.2, 1.29.0-135.0.0.20251218190115-b292a32bacdf və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| go.temporal.io/serverGo | v < 1.27.4, 1.28.0 ≤ v < 1.28.2, 1.29.0 ≤ v < 1.29.2, 1.29.0-0 ≤ v < 1.29.0-135.0.0.20251218190115-b292a32bacdf | 1.27.4, 1.28.2, 1.29.2, 1.29.0-135.0.0.20251218190115-b292a32bacdf |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.