CVE-2026-63406
Təsvir
AnyCable hər hansı bir backend-i dəstəkləyən etibarlı iki tərəfli rabitə üçün real vaxt rejimində işləyən serverdir. Versiya 1.6.15-dək telemetry/config.go faylındakı telemetriya alt sistemi sabit kodlaşdırılmış (hardcoded) açıq authToken ilə izləməni aktivləşdirir, telemetry/telemetry.go faylındakı clusterFingerprint isə anycableCLIArgs tərəfindən qaytarılan tam konfiqurasiya faylını və xam os.Args-ları oxuyur ki, bura --secret, --jwt_secret və --http_rpc_secret vasitəsilə təmin edilən dəyərlər daxildir. Bu girişlər generateDigest funksiyasına ötürülür və burada sha256.New telemetriya kimi göndərilən onaltılıq (hexadecimal) barmaq izini yaradır. Mövcud mənbə xam etibarnamələrin prosesdən çıxdığını göstərmir və ya bildirişdə iddia edilən məxfiliyin itirilməsini sübut etmir, lakin sabit barmaq izi gizli məlumatlar ehtiva edən konfiqurasiyadan törədilir və standart telemetriya kliyenti hamıya məlum olan autentifikasiya materiallarından istifadə edir. Bu problem 1.6.15 versiyasında düzəldilib.
Necə düzəltmək olar
- github.com/anycable/anycable1.6.15 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/anycable/anycableGo | v < 1.6.15 | 1.6.15 |
| github.com/anycable/anycable-goGo | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.