CVE-2020-15237
Açıklama
Shrine 3.3.0 versiyonundan önceki sürümlerde, `derivation_endpoint` eklentisi kullanıldığında, saldırganın türetme URL'sinin imzasını tahmin etmek için bir zamanlama saldırısı (timing attack) gerçekleştirmesi mümkündür. Sorun, gönderilen ve hesaplanan imzaların `Rack::Utils.secure_compare` kullanılarak sabit zamanda karşılaştırılmasıyla giderilmiştir. `derivation_endpoint` eklentisini kullanan kullanıcıların Shrine 3.3.0 veya daha yeni bir sürüme yükseltmeleri önemle tavsiye edilir. Bağlantılı güvenlik duyurusunda olası bir geçici çözüm sunulmuştur.
Nasıl düzeltilir
- shrinerb shrine3.3.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| shrinerb shrine | v < 3.3.0 | 3.3.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.