CVE-2009-2936
Açıklama
Varnish 2.1.0 öncesindeki ters proxy sunucusunun ana sürecinde yer alan Komut Satırı Arayüzü (Server CLI veya yönetim arayüzü olarak da bilinir), bir TCP portu üzerinden alınan komutlar için kimlik doğrulama gerektirmemektedir; bu durum uzaktan saldırganların şunları yapmasına olanak tanır: (1) satır içi C kodu içeren bir VCL yapılandırma dosyası sağlayan vcl.inline direktifi aracılığıyla rastgele kod çalıştırmak; (2) param.set, stop ve start direktifleri aracılığıyla ana sürecin sahipliğini değiştirmek; (3) vcl.load direktifi aracılığıyla herhangi bir dosyanın ilk satırını okumak veya (4) kurbanın güvenilir bir ağdaki konumundan ve direktiflerin hatalı girdi doğrulamasından yararlanarak siteler arası istek sahteciliği (CSRF) saldırıları gerçekleştirmek. NOT: Üretici, bu raporun "temelde yanlış yönlendirilmiş ve anlamsız" olduğunu belirterek raporla ihtilaf etmektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| varnish.projects.linpro varnish | 0.9, 0.9.1, 1.0, 1.0.1, 1.0.2, 1.0.3, 1.0.4, 1.1, 1.1.1, 1.1.2, 2.0, 2.0.1, 2.0.2, 2.0.3, 2.0.4, 2.0.5, 2.0.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.