CVE-2026-27981
Təsvir
HomeBox ev inventarı və təşkilat sistemidir. 0.24.0 versiyasından əvvəl autentifikasiya tezlik məhdudlayıcısı (authRateLimiter) hər müştəri IP ünvanı üzrə uğursuz cəhdləri izləyir. Müştəri IP-si aşağıdakılar oxunmaqla müəyyən edilir: 1. X-Real-IP başlığı, 2. X-Forwarded-For başlığının ilk yazılışı və 3. r.RemoteAddr (TCP bağlantı ünvanı). Bu başlıqlar şərtsiz şəkildə oxunurdu. Bir hücumçu birbaşa Homebox-a qoşularaq X-Real-IP başlığında istənilən dəyəri saxtalaşa bilərdi ki, bu da effektiv olaraq hər sorğu üçün yeni tezlik məhdudiyyəti kimliyi almağa imkan verirdi. Konfiqurasiyada TrustProxy seçimi (Options.TrustProxy, standart olaraq false) mövcuddur, lakin bu seçim heç bir middleware və ya tezlik məhdudlayıcı kodu tərəfindən oxunmamışdı. Əlavə olaraq, main.go faylında chi-nin middleware.RealIP funksiyası şərtsiz tətbiq edilmişdi və r.RemoteAddr dəyəri hər hansı bir handler-ə çatmazdan əvvəl saxtalaşdırılmış başlıq dəyəri ilə əvəz olunurdu. Bu zəiflik 0.24.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- sysadminsmedia homebox0.24.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| sysadminsmedia homebox | v < 0.24.0 | 0.24.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.