CVE-2019-12794
Açıklama
MISP 2.4.108 sürümünde bir sorun tespit edilmiştir. Organizasyon yöneticileri, site yöneticilerinin kimlik bilgilerini sıfırlayabilmekteydi (organizasyon yöneticileri, organizasyonlarındaki tüm kullanıcıların parolalarını sıfırlama yetkisine doğal olarak sahiptir). Ancak bu durum, bir örneğin ana kuruluşunun organizasyon yöneticileri oluşturduğu senaryolarda kötüye kullanılabilirdi. Bir organizasyon yöneticisi, site yöneticisi için manuel olarak bir parola belirleyebilir veya site yöneticisini taklit etmek için doğrudan onun API anahtarını kullanabilirdi. Kötüye kullanım potansiyeli, yalnızca ana kuruluşun alışılagelmiş site yöneticileri yerine daha düşük yetkili organizasyon yöneticileri oluşturduğunda ortaya çıkmaktadır. Ayrıca, bunu yalnızca site yöneticisi ile aynı organizasyona bağlı olan organizasyon yöneticileri kötüye kullanabilirdi.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| misp-project misp | 2.4.108 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.