CVE-2019-7628
Açıklama
Pagure 5.2, API anahtarlarını kullanıcılara e-posta ile göndererek sızdırmaktadır. Çok az e-posta sunucusu TLS sertifikalarını doğruladığından, ortadaki adam (man-in-the-middle) saldırganlarının bu e-postaları okuması ve diğer kullanıcılar adına Pagure'a erişim sağlaması kolaydır. Bu sorun, files/api_key_expire_mail.py dosyasındaki API belirteci sona erme hatırlatıcısı cron işinde tespit edilmiştir; söz konusu işin devre dışı bırakılması da uygulanabilir bir çözümdür. (API anahtarının bir alt dizgisinin e-posta ile gönderilmesi denenmiş ancak reddedilmiş bir çözümdür.)
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat pagure | 5.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.