CVE-2025-23217
Təsvir
mitmproxy penetrasiya testçiləri və proqram təminatı tərtibatçıları üçün interaktiv, TLS dəstəkli kəsici HTTP proksisidir, mitmweb isə mitmproxy üçün veb əsaslı interfeysdir. mitmweb 11.1.1 və daha aşağı versiyalarda zərərli klient mitmweb-in proksi serverindən (defolt olaraq `*:8080` ünvanına bağlanmışdır) istifadə edərək mitmweb-in daxili API-na (defolt olaraq `127.0.0.1:8081` ünvanına bağlanmışdır) müraciət edə bilər. Başqa sözlə, onlar API-ya birbaşa müraciət edə bilməsələr də, proksi vasitəsilə müraciət edə bilirlər. Hücumçu bu SSRF tipli girişi uzaqdan kodun icrasına çevirə bilər. mitmproxy və mitmdump alətləri bundan təsirlənmir. Yalnız mitmweb təsirlənmişdir. Bu boşluq mitmproxy 11.1.2 və daha yuxarı versiyalarda aradan qaldırılmışdır. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Bu boşluq üçün məlum olan heç bir alternativ həll yolu yoxdur.
Necə düzəltmək olar
- mitmproxy11.1.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mitmproxyPyPI | v < 11.1.2 | 11.1.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.