CVE-2019-1010200
Açıklama
Voice Builder, c145d4604df67e6fc625992412eef0bf9a85e26b ve f6660e6d8f0d1d931359d591dbdec580fef36d36 commit'lerinden önceki sürümlerinde şu durumdan etkilenmektedir: CWE-78: İşletim Sistemi Komutunda Kullanılan Özel Öğelerin Uygun Şekilde Etkisizleştirilmemesi ('OS Command Injection'). Etkisi şudur: Sunucularla aynı ayrıcalıklara sahip uzaktan kod çalıştırma. Bileşen şudur: Projelerdeki iki web sunucusu, uzaktan erişilebilen üç savunmasız uç nokta barındırmaktadır. Uç noktalar şurada tanımlanmıştır: - /tts: https://github.com/google/voice-builder/blob/3a449a3e8d5100ff323161c89b897f6d5ccdb6f9/merlin_model_server/api.js#L34 - /alignment: https://github.com/google/voice-builder/blob/3a449a3e8d5100ff323161c89b897f6d5ccdb6f9/festival_model_server/api.js#L28 - /tts: https://github.com/google/voice-builder/blob/3a449a3e8d5100ff323161c89b897f6d5ccdb6f9/festival_model_server/api.js#L65. Saldırı vektörü şudur: Saldırgan, savunmasız uç noktaya özel olarak biçimlendirilmiş bir sorgu parametresi ile GET isteği gönderir. Düzeltilmiş sürüm: f6660e6d8f0d1d931359d591dbdec580fef36d36 commit'inden sonrası.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| google voice_builder | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.