CVE-2026-33246
Təsvir
NATS-Server, bulud və kənar (edge) mühitli mesajlaşma sistemi olan NATS.io üçün yüksək performanslı serverdir. nats-server sorğu haqqında məlumat təmin edən `Nats-Request-Info:` mesaj başlığını təklif edir. Bu, hesabın/istifadəçinin identifikasiyasına imkan verəcək kifayət qədər məlumat verməlidir ki, NATS klientləri nats-server-ə broker kimi etibar etdikləri təqdirdə, mesaja necə etibar edəcəkləri ilə bağlı öz qərarlarını verə bilsinlər. Sistem hesabı da körpüləndirilməyibsə, nats-server-ə qoşulan leafnode tam etibarlı sayılmır. Buna görə də, şəxsiyyət iddiaları yoxlanılmadan ötürülməməlidir. Versiya 2.11.15 və 2.12.6-dan əvvəlki versiyalarda, Nats-Request-Info: başlığına güvənən NATS klientləri aldadıla bilərdi (spoofing). Bu, birbaşa olaraq nats-server-in özünə təsir etmir, lakin CVSS Məxfiliyi (Confidentiality) və Bütövlüyü (Integrity) balları hipotetik bir klientin bu NATS başlığı ilə nə etməyi seçə biləcəyinə əsaslanır. Versiyalar 2.11.15 və 2.12.6 düzəlişi ehtiva edir. Heç bir məlum alternativ həll yolu mövcud deyil.
Necə düzəltmək olar
- linuxfoundation nats-server2.11.15, 2.12.6 və ya daha yeni versiya
- github.com/nats-io/nats-server/v22.11.15, 2.12.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| linuxfoundation nats-server | v < 2.11.15, 2.12.0 ≤ v < 2.12.6 | 2.11.15, 2.12.6 |
| github.com/nats-io/nats-server/v2Go | v < 2.11.15, 2.12.0-RC.1 ≤ v < 2.12.6 | 2.11.15, 2.12.6 |
| github.com/nats-io/nats-serverGo | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.