CVE-2021-32643
Açıklama
Http4s, HTTP servisleri için bir Scala arayüzüdür. `URL` şeması `file://` olmadığında ve URL kendi şeması ile yetkisi altında getirilebilir bir kaynağa işaret ettiğinde, `StaticFile.fromUrl` sunucudaki bir dizinin varlığını sızdırabilir. Fonksiyon, URL'nin şemasını veya yetkisini önce kontrol etmeden, eğer `url.getFile` bir dizinse kaynak olmadığını belirten `F[None]` değerini döndürür. Eğer ilgili şema ve URL'ye yapılan bir bağlantı bir akış (stream) döndürecekse ve URL'deki yol sunucuda bir dizin olarak mevcutsa, dizinin sunucudaki varlığı 404 yanıtından çıkarılabilir. Dizinin içeriği ve diğer meta verileri açığa çıkmaz. Bu durum şu http4s sürümlerini etkilemektedir: 0.21.7 ile 0.21.23 arası, 0.22.0-M1 ile 0.22.0-M8 arası, 0.23.0-M1 ve 1.0.0-M1 ile 1.0.0-M22 arası. [Yama](https://github.com/http4s/http4s/commit/52e1890665410b4385e37b96bc49c5e3c708e4e9) şu sürümlerde mevcuttur: v0.21.24, v0.22.0-M9, v0.23.0-M2, v1.0.0-M23. Geçici bir çözüm olarak kullanıcılar, `StaticFile.fromUrl` fonksiyonunu dosya dışı URL'ler ile çağırmaktan kaçınabilirler.
Nasıl düzeltilir
- typelevel http4s0.21.24 ya da sonraki bir sürüm
- org.http4s:http4s-core0.21.24, 0.22.0-RC1, 0.23.0-RC1, 1.0.0-M23 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| typelevel http4s | 0.21.7 ≤ v < 0.21.24, 0.22.0, 0.23.0, 1.0.0 | 0.21.24 |
| org.http4s:http4s-coreMaven | 0.21.7 ≤ v < 0.21.24, 0.22.0-M1 ≤ v < 0.22.0-RC1, 0.23.0-M1 ≤ v < 0.23.0-RC1, 1.0.0-M1 ≤ v < 1.0.0-M23 | 0.21.24, 0.22.0-RC1, 0.23.0-RC1, 1.0.0-M23 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.