CVE-2026-30303
Təsvir
Axon Code-dakı əmrlerin avtomatik təsdiqi modulu, ağ siyahı (whitelist) təhlükəsizlik mexanizmini effektivsiz edən OS Command Injection zəifliyinə malikdir. Zəiflik, Windows platformasında əmrləri analiz etmək üçün uyğun olmayan əmr parserindən (Unix əsaslı shell-quote kitabxanası) yanlış istifadə edilməsindən və Windows CMD-yə xas olan qaçış ardıcıllıqlarının (^) düzgün idarə olunmamasından qaynaqlanır. Hücumçular parsing məntiqi ilə icra mühiti arasındakı bu fərqdən `git log ^" & malicious_command ^"` kimi faydalı yüklər hazırlayaraq istifadə edə bilərlər. Axon Code parseri qaçış simvolları tərəfindən aldadılır və zərərli əmr konnektorunu (&) qorunan sətir arqumentinin daxilində olduğunu düşünərək səhv şəkilə interpretasiya edir və beləliklə əmri avtomatik təsdiqləyir. Lakin altda yerləşən Windows CMD interpretatoru qaçırılmış dırnaq işarələrini görməzdən gələrək növbəti zərərli əmri birbaşa analiz edir və icra edir. Bu, hücumçulara legitim Git ağ siyahı yoxlamasını yan keçdikdən sonra ixtiyari uzaqdan kodun icrasını (RCE) həyata keçirməyə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| matterai axon_code | v ≤ 4.123.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.