CVE-2021-21364
Açıklama
swagger-codegen, OpenAPI / Swagger tanımınızı ayrıştırarak farklı dillerde dokümantasyon, API istemcileri ve sunucu taslakları oluşturmak için şablon tabanlı bir motor içeren açık kaynaklı bir projedir. swagger-codegen'in 2.4.19 sürümünden önceki sürümlerinde, Unix benzeri sistemlerde sistem geçici dizini tüm yerel kullanıcılar arasında paylaşılır. Dosyalar/dizinler oluşturulduğunda, işlem için varsayılan `umask` ayarları dikkate alınır. Sonuç olarak, güvenli dosya izinlerini açıkça belirleyen bir API kullanılmadığı sürece, çoğu işlem/API varsayılan olarak dosyaları sırasıyla `-rw-r--r--` ve dizinleri `drwxr-xr-x` izinleriyle oluşturacaktır. Bu zafiyet oluşturulan kodu etkilediği için, oluşturulan kod manuel olarak düzeltilene kadar savunmasız kalmaya devam edecektir! Bu zafiyet 2.4.19 sürümünde giderilmiştir. Bunun CVE-2021-21363'ten farklı bir zafiyet olduğunu unutmayın.
Nasıl düzeltilir
- smartbear swagger-codegen2.4.19 ya da sonraki bir sürüm
- io.swagger:swagger-codegen2.4.19 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| smartbear swagger-codegen | v < 2.4.19 | 2.4.19 |
| io.swagger:swagger-codegenMaven | v < 2.4.19 | 2.4.19 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.