CVE-2026-45796
Təsvir
Coder təşkilatlara Terraform vasitəsilə uzaq inkişaf mühitləri yaratmağa imkan verir. 2.24.5, 2.29.13, 2.30.8, 2.31.12, 2.32.2 və 2.33.3 versiyalarından əvvəlki versiyalar Azure instance identity endpoint (`POST /api/v2/workspaceagents/azure-instance-identity`) vasitəsilə autentifikasiya tələb etməyən yarımkor Server-Side Request Forgery (SSRF) zəifliyinə məruz qalır. Xarici hücumçu hazırlanmış PKCS#7 imzası göndərməklə Coder serverini ixtiyari daxili və ya xarici hostlara HTTP GET sorğuları göndərməyə məcbur edə bilər. Server hədəfin cavab gövdəsini qaytarmır, lakin API cavabındakı xəta mesajları hədəfin əlçatan olub-olmadığını və hansı növ nasazlığın baş verdiyini göstərir. 2.24.5, 2.29.13, 2.30.8, 2.31.12, 2.32.2 və 2.33.3 versiyaları bu problemi aradan qaldırır. Müvəqqəti həll kimi, Azure identity-auth mexanizmi istifadə edilmirsə, ingress firewall və/və ya proxy ACL-ləri vasitəsilə müvafiq endpointə (`/api/v2/workspaceagents/azure-instance-identity`) girişi məhdudlaşdırın.
Necə düzəltmək olar
- coder coder2.24.5, 2.29.13, 2.30.8, 2.31.12, 2.32.2, 2.33.3 və ya daha yeni versiya
- github.com/coder/coder/v22.33.3, 2.32.2, 2.31.12, 2.30.8, 2.29.13, 2.24.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| coder coder | v < 2.24.5, 2.29.0 ≤ v < 2.29.13, 2.30.0 ≤ v < 2.30.8, 2.31.0 ≤ v < 2.31.12, 2.32.0 ≤ v < 2.32.2, 2.33.0 ≤ v < 2.33.3 | 2.24.5, 2.29.13, 2.30.8, 2.31.12, 2.32.2, 2.33.3 |
| github.com/coder/coder/v2Go | 2.33.0-rc.0 ≤ v < 2.33.3, 2.32.0-rc.0 ≤ v < 2.32.2, 2.31.0 ≤ v < 2.31.12, 2.30.0 ≤ v < 2.30.8, 2.29.0 ≤ v < 2.29.13, v < 2.24.5 | 2.33.3, 2.32.2, 2.31.12, 2.30.8, 2.29.13, 2.24.5 |
| github.com/coder/coderGo | v ≤ 0.27.3, Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.