CVE-2021-27099
Açıklama
SPIRE'ın 0.8.5, 0.9.4, 0.10.2, 0.11.3 ve 0.12.1 versiyonlarından öncekilerde, "aws_iid" Node Attestor, agent ID şablonlama özelliği aracılığıyla sağlanan yolu uygun şekilde normalize etmemektedir; bu durum, saldırganın kimlik doğrulama öncesinde bir EC2 etiketi değerini kontrol edebilmesi ve attestor'un etiket değerinin yoldaki son öğe olduğu agent ID şablonlaması için yapılandırılmış olması durumunda, aynı güven alanı içinde rastgele bir SPIFFE ID düzenlenmesine izin verebilir. Bu sorun SPIRE 0.11.3 ve 0.12.1 versiyonlarında düzeltilmiştir.
Nasıl düzeltilir
- cncf spire0.8.5, 0.9.4, 0.10.2, 0.11.3, 0.12.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cncf spire | v < 0.8.5, 0.9.0 ≤ v < 0.9.4, 0.10.0 ≤ v < 0.10.2, 0.11.0 ≤ v < 0.11.3, 0.12.0 ≤ v < 0.12.1 | 0.8.5, 0.9.4, 0.10.2, 0.11.3, 0.12.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.