CVE-2025-3931
Təsvir
Sistem brokeri kimi çıxış edən və proseslərin DBus komponenti vasitəsilə digər alt "worker" prosesləri ilə əlaqə saxlamasına imkan verən Yggdrasil-də çatışmazlıq aşkar edilmişdir. Yggdrasil mesajları worker-lərə yönləndirmək üçün bir DBus metodu yaradır. Lakin burada autentifikasiya və avtorizasiya yoxlamaları olmadığı üçün hər bir sistem istifadəçisi bu metodu çağıra bilir. Mövcud olan Yggdrasil worker-lərindən biri yeni repozitoriyalar yaratmaq, onları aktivləşdirmək, paketləri quraşdırmaq və ya silmək imkanlarına malik paket meneceri kimi fəaliyyət göstərir. Bu çatışmazlıq, sistemə giriş imkanı olan hücumçuya mesajın yönləndirilməsi zamanı autentifikasiyanın olmamasından istifadə edərək Yggdrasil worker-ini ixtiyari RPM paketlərini quraşdırmağa məcbur etməyə imkan verir. Bu problem lokal imtiyazların yüksəldilməsi ilə nəticələnir və hücumçuya həssas sistem məlumatlarına daxil olmağa və onları dəyişdirməyə şərait yaradır.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/redhatinsights/yggdrasilGo | v ≤ 0.4.6, Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.