CVE-2021-21385
Açıklama
MifosX için geliştirilen Mifos-Mobile Android Uygulaması, MifosX Self-Service platformu üzerine inşa edilmiş bir Android uygulamasıdır. e505f62 commit'inden önceki Mifos-Mobile sürümleri, HTTP istemcisinin HTTPS ana bilgisayar adı (hostname) doğrulamasını devre dışı bırakmaktadır. Ek olarak, tüm kendi imzalı sertifikaları geçerli olarak kabul etmektedir. Ana bilgisayar adı doğrulaması, sunulan sertifikanın ilgili ana bilgisayar için geçerli olduğundan emin olmak adına HTTPS kullanımı sırasında önemli bir parçadır. Bu özelliğin devre dışı bırakılması, ortadaki adam (man-in-the-middle) saldırılarına olanak tanıyabilir. Kendi imzalılar da dahil olmak üzere herhangi bir sertifikanın kabul edilmesi, ortadaki adam saldırılarına izin verir. Bu sorun, mifos-mobile e505f62 commit'inde düzeltilmiştir.
Nasıl düzeltilir
- mifos mifos-mobile2021-03-14 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mifos mifos-mobile | v < 2021-03-14 | 2021-03-14 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.