CVE-2026-55429
Təsvir
Coder təşkilatlara Terraform vasitəsilə uzaqdan işləmə mühitlərinin təmin edilməsinə imkan verir. Versiyalar 2.29.7, 2.32.7, 2.33.8 və 2.34.2-dən əvvəlki versiyalarda, `UpsertWorkspaceApp` primar açar münaqişəsi zamanı mövcud tətbiqin `agent_id`-ni overwrite edir və `insertAgentApp` provizionerin `CompleteJob` faylındakı tətbiq ID-sini onun qurulmaqda olan workspace-ə aid olduğunu yoxlamadan qəbul edir. `CompleteJob` funksiyası `dbauthz.AsProvisionerd` altında işlədiyi üçün avtorizasiya layı `cross-workspace upsert` əməliyyatını bloklamır. İstismar üçün şablon müəllifi və ya xarici provizioner operatoru kimi yüksəldilmiş giriş hüquqları tələb olunur. Versiyalar 2.29.7, 2.32.7, 2.33.8 və 2.34.2-də tətbiq edilən düzəliş, təqdim olunan ID ilə uyğunlaşan hər hansı mövcud `workspace_apps` sətirinin qurulmaqda olan workspace-ə aid olduğunu yoxlayır və workspace-lər arası agent yenidən təyinini rədd edir. Heç bir məlum alternativ həll yolu mövcud deyil.
Necə düzəltmək olar
- coder coder2.29.17, 2.32.7, 2.33.8, 2.34.2 və ya daha yeni versiya
- github.com/coder/coder/v22.34.2, 2.33.8, 2.32.7, 2.29.17 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| coder coder | v < 2.29.17, 2.30.0 ≤ v < 2.32.7, 2.33.0 ≤ v < 2.33.8, 2.34.0 ≤ v < 2.34.2 | 2.29.17, 2.32.7, 2.33.8, 2.34.2 |
| github.com/coder/coder/v2Go | 2.34.0 ≤ v < 2.34.2, 2.33.0 ≤ v < 2.33.8, 2.30.0 ≤ v < 2.32.7, v < 2.29.17 | 2.34.2, 2.33.8, 2.32.7, 2.29.17 |
| github.com/coder/coderGo | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.