CVE-2018-11786
Açıklama
Apache Karaf'ın 4.2.0 sürümü öncesinde, bir yöneticinin çalışan örneği yönetebilmesi için Karaf'taki sshd servisi açık bırakılırsa, Karaf konsoluna erişim hakları olan herhangi bir kullanıcı, Karaf işlem kullanıcısının erişimine sahip olduğu dosya sistemindeki herhangi bir dosyayı okuyup yazarak pivot yapabilir. Bu durum, Karaf kurulum dizini dışındaki dosyaları korumak için kök dizini değiştirmek amacıyla chroot kullanılarak biraz kısıtlanabilir; ayrıca, dosya sistemi erişimini Karaf ana dizini altında sistemin çalışması için gerekli olan dizinlerle sınırlayan bir güvenlik yöneticisi politikası tanımlanarak daha da sıkılaştırılabilir. Ancak bu durum, Karaf işlemine ssh erişimi olan herkesin, Karaf işlem kullanıcısı olarak çok sayıda dosyayı okumasına ve yazmasına hala izin vermektedir.
Nasıl düzeltilir
- apache karaf4.2.0 ya da sonraki bir sürüm
- org.apache.karaf:apache-karaf4.2.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache karaf | v < 4.2.0 | 4.2.0 |
| org.apache.karaf:apache-karafMaven | v < 4.2.0 | 4.2.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.