CVE-2026-77601
Təsvir
OpenC3 COSMOS bir və ya bir neçə gömülü sistemə əmrlər göndərmək və onlardan məlumat almaq üçün lazım olan funksionallığı təmin edir. 5.12.0 versiyasından 7.3.0 versiyasına qədər autentifikasiya olunmuş aktor POST /openc3-api/api ünvanındakı set_setting vasitəsilə pypi_url tənzimləməsini yaza bilər, daha sonra Python asılılıq meta-məlumatları ilə plagin quraşdırarkən openc3/lib/openc3/models/plugin_model.rb faylındakı OpenC3::PluginModel.install_phase2 metodunun bu dəyəri shell əmrində interpolasiya etməsinə səbəb ola bilər. Tənzimləmədəki shell meta-simvolları komanda shell-i tərəfindən şərh edilir və bu da Redis və bucket etibarnamələrinə giriş imkanı olan openc3 servis istifadəçisi kimi ixtiyari əməliyyat sistemi əmrlərinin icrasına şərait yaradır. Açıq mənbəli deployment-lər hər hansı autentifikasiya olunmuş istifadəçinin təsirlənmiş əməliyyatlara çatmasına icazə verir, Enterprise deployment-ləri isə administrator tələb edir. Bu problem 7.3.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| OpenC3 cosmos | >= 5.12.0, < 7.3.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.