CVE-2026-47389
Təsvir
Mastodon, ActivityPub əsaslı pulsuz və açıq mənbəli sosial şəbəkə serveridir. 4.5.10, 4.4.17 və 4.3.23 versiyalarından əvvəl, 3.4-dən köhnə Ruby versiyaları istifadə edildikdə, PrivateAddressCheck.private_address? funksiyası bəzi şəxsi IPv4 ünvanlarına uyğun gələn IPv4-map edilmiş IPv6 ünvanları (::ffff:a.b.c.d) üçün false qaytarır; Ruby versiyasından asılı olaraq buna loopback, RFC1918 şəxsi şəbəkələri və link-local sahəsi daxil ola bilər. Hər hansı bir domen üçün DNS-i idarə edən hücumçu belə map edilmiş ünvanla AAAA qeydi dərc edə bilər; Mastodon həmin host adına qarşı hər hansı çıxan HTTP sorğusu etdikdə, bu, 127.0.0.1 və 169.254.169.254 kimi cloud-metadata son nöqtələri də daxil olmaqla, altda yatan IPv4 ünvanına real TCP bağlantısı açır. Bu zəiflik 4.5.10, 4.4.17 və 4.3.23 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mastodon mastodon | >= 4.5.0-beta.1, < 4.5.10 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.