CVE-2020-28086
Açıklama
pass 1.7.3 sürümünde, istenmeyen bir kaynak için şifre kullanılması olasılığı bulunmaktadır. İstismarın gerçekleşmesi için kullanıcının git pull yapması, bir şifreyi çözmesi ve bu şifre ile uzak bir servise giriş yapması gerekir. Eğer bir saldırgan merkezi Git sunucusunu veya diğer üyelerin makinelerinden birini kontrol ediyorsa ve aynı zamanda şifre deposunda halihazırda bulunan servislerden birini kontrol ediyorsa, Git deposundaki şifre dosyalarından birini başka bir isimle yeniden adlandırabilir: pass, bir dosyanın içeriğinin dosya adıyla eşleştiğini doğru şekilde doğrulamamaktadır; bu nedenle kullanıcı, yanlış şifreyi çözmeye ve bunu saldırganın kontrolündeki bir servise göndermeye yönlendirilebilir. NOT: Bu tehdit modelinin endişe kaynağı olduğu ortamlar için commit'lerin imzalanması bir çözüm olabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| zx2c4 password-store | v ≤ 1.7.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.