CVE-2020-26277
Açıklama
DBdeployer, MySQL veritabanı sunucularını kolayca kuran bir araçtır. 1.58.2 sürümü öncesindeki DBdeployer'da, bir tarball dosyasını açan kullanıcılar, hedef dışındaki dosyalara sembolik bağlantılar içeren kötü niyetle paketlenmiş bir tarball kullanabilirler. Böyle bir senaryoda, bir saldırgan dbdeployer'ın bir sistem dosyasına yazmasını sağlayarak bilgisayar savunmalarını değiştirebilir. Saldırının başarılı olması için şu faktörlerin etkili olması gerekir: 1) Kullanıcının root olarak oturum açmış olması. dbdeployer root olarak kullanılabilse de ayrıcalıksız bir kullanıcı olarak çalışacak şekilde tasarlanmıştır. 2) Kullanıcının, sağlama toplamını (checksum) test etmeden güvenli olmayan bir kaynaktan tarball almış olması. Tarball dbdeployer aracılığıyla alındığında, açma işlemi denenmeden önce sağlama toplamı karşılaştırılır. Bu durum 1.58.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- dbdeployer dbdeployer1.58.2 ya da sonraki bir sürüm
- github.com/datacharmer/dbdeployer1.58.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dbdeployer dbdeployer | v < 1.58.2 | 1.58.2 |
| github.com/datacharmer/dbdeployerGo | v < 1.58.2 | 1.58.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.