CVE-2019-17636
Açıklama
Eclipse Theia 0.3.9 ile 0.15.0 arasındaki sürümlerde, varsayılan olarak önceden paketlenmiş Theia uzantılarından biri olan ve npmjs.com üzerinde "@theia/mini-browser" olarak yayınlanan "Mini-Browser"da bir güvenlik açığı bulunmaktadır. Bu uzantı, kendi gereksinimleri doğrultusunda, istek yapanın kaynağına yönelik herhangi bir kısıtlama olmaksızın, dosya yolları verildiğinde ana bilgisayarın dosya sistemindeki dosyaların içeriğinin okunmasına izin veren bir HTTP uç noktası sunmaktadır. Bu tasarım; bir DNS rebinding saldırısı veya dikkatle hazırlanmış bir exploit'in drive-by download yöntemiyle indirilmesi yoluyla uzaktan istismar edilmeye açıktır.
Nasıl düzeltilir
- @theia/mini-browser0.16.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| eclipse theia | 0.3.9 ≤ v ≤ 0.15.0 | — |
| @theia/mini-browsernpm | 0.3.9 ≤ v < 0.16.0 | 0.16.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.