CVE-2020-15813
Açıklama
3.3.3 öncesindeki Graylog, LDAP sunucuları için SSL Sertifika Doğrulamasına sahip değildir. Bu durum, LDAP'de saklanan harici bir kullanıcı/grup veritabanının kullanılmasına izin verir. Bağlantı yapılandırması; şifrelenmemiş, SSL veya TLS ile güvenliği sağlanmış bağlantıların kullanımına olanak tanır. Maalesef, Graylog istemci kodu (LDAP destekleyen tüm sürümlerde), ("Kendi imzalı sertifikalara izin ver" seçeneği kullanılsa dahi) uygun sertifika doğrulamasını uygulamamaktadır. Bu nedenle, bir Graylog sunucusu ile bir LDAP sunucusu arasındaki ağ trafiğini yakalama yeteneğine sahip herhangi bir saldırgan, trafiği farklı bir LDAP sunucusuna yönlendirebilir (sertifika doğrulaması eksikliği nedeniyle Graylog sunucusu tarafından fark edilmeden) ve böylece Graylog'un kimlik doğrulama mekanizmasını etkili bir şekilde atlayabilir.
Nasıl düzeltilir
- graylog graylog3.3.3 ya da sonraki bir sürüm
- org.graylog:graylog-parent3.3.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| graylog graylog | v < 3.3.3 | 3.3.3 |
| org.graylog:graylog-parentMaven | v < 3.3.3 | 3.3.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.