CVE-2020-15133
Açıklama
faye-websocket 0.11.0 sürümünden önceki sürümlerde, TLS el sıkışmalarında sertifika doğrulaması eksikliği bulunmaktadır. `Faye::WebSocket::Client` sınıfı, bağlantı için bir `wss:` URL'si kullanıldığında TLS el sıkışmasını gerçekleştirmek için EventMachine içindeki `EM::Connection#start_tls` metodunu kullanır. Bu metod varsayılan olarak sertifika doğrulamasını gerçekleştirmez; bu da sunucunun beklenen ana bilgisayar adı için geçerli ve güvenilir bir TLS sertifikası sunduğunun kontrol edilmediği anlamına gelir. Bu durum, kütüphane kullanılarak yapılan herhangi bir `wss:` bağlantısının, bağlandığı sunucunun kimliğini onaylamadığı için ortadaki adam (man-in-the-middle) saldırısına karşı savunmasız olduğu anlamına gelmektedir. Bu konu hakkında daha fazla arka plan bilgisi için lütfen referans verilen GitHub Advisory'ye bakınız. `faye-websocket` sürümünün v0.11.0 sürümüne yükseltilmesi önerilir.
Nasıl düzeltilir
- faye-websocket_project faye-websocket0.11.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| faye-websocket_project faye-websocket | v < 0.11.0 | 0.11.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.