CVE-2021-32637
Açıklama
Authelia, web uygulamaları için tek oturum açma (single sign-on) özellikli çok faktörlü bir portaldır. Bu durum, Authelia ile birlikte nginx ngx_http_auth_request_module kullanan kullanıcıları etkilemektedir; kötü niyetli bir kişinin hatalı biçimlendirilmiş bir HTTP isteği oluşturarak kimlik doğrulama mekanizmasını atlatmasına olanak tanır. Teorik olarak diğer proxy sunucularını da etkileyebilir ancak resmi olarak desteklediğimiz nginx dışındaki tüm sunucular hatalı biçimlendirilmiş URI yollarına izin vermemektedir. Sorun v4.29.3 sürümünde tamamen giderilmiştir. Bu yama nispeten basit olduğu için talep üzerine herhangi bir sürüme geriye dönük olarak uygulanabilir. Alternatif olarak, herhangi bir sürüme uygulanması nispeten kolay olan 4.25.1 sürümü için bir git yaması sağlıyoruz; belirli sürümler için git yamaları referanslarda bulunabilir. En uygun geçici çözüm yükseltme yapmaktır. Ayrıca, dahili konum bloğuna hatalı biçimlendirilmiş URI içeren istekleri reddeden bir blok ekleyebilirsiniz.
Nasıl düzeltilir
- authelia authelia4.25.1, 4.29.3 ya da sonraki bir sürüm
- github.com/authelia/authelia/v44.29.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| authelia authelia | 4.0.0 ≤ v < 4.25.1, 4.26.0 ≤ v < 4.29.3 | 4.25.1, 4.29.3 |
| github.com/authelia/authelia/v4Go | 4.0.0-alpha1 ≤ v < 4.29.3 | 4.29.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.