CVE-2020-12852
Açıklama
Pydio Cells 2.0.4 sürümündeki güncelleme özelliği, bir yönetici kullanıcısının özel bir güncelleme URL'si ve indirilen güncelleme paketini doğrulamak için kullanılan genel RSA anahtarını ayarlamasına olanak tanır. Güncelleme işlemi; güncelleme sunucusu yanıtında belirtilen bir URL'den güncellenmiş ikili dosyanın indirilmesini, sağlanan genel anahtar ile sağlama toplamının (checksum) ve imzasının doğrulanmasını ve son olarak mevcut uygulama ikilisinin değiştirilmesini içerir. Güncelleme işlemini tamamlamak için uygulamanın servisinin veya cihazının yeniden başlatılması gerekir. Yönetici erişimine sahip bir saldırgan, yazılım güncelleme özelliğini kullanarak uygulamayı, mevcut Pydio Cells ikilisini değiştirecek özel bir ikili dosyayı indirmeye zorlayabilir. Sunucu veya servis nihayetinde yeniden başlatıldığında, saldırgan uygulamayı çalıştıran kullanıcının ayrıcalıklarıyla kod yürütebilecektir. Pydio Cells kurumsal cihazında bu işlem, “pydio” adlı kullanıcının ayrıcalıklarıyla gerçekleşir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pydio cells | 2.0.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.