CVE-2021-32674
Açıklama
Zope açık kaynaklı bir web uygulama sunucusudur. Bu bildirim, https://github.com/zopefoundation/Zope/security/advisories/GHSA-5pr9-v234-jw36 adresindeki önceki bildirimi ek TAL ifade geçişi (expression traversal) zafiyetleri ile genişletmektedir. Çoğu Python modülü, örneğin Zope Page Templates içinde olduğu gibi, web üzerinden ekleyebileceğiniz TAL ifadelerinde kullanıma uygun değildir. Bu kısıtlama, örneğin 'os' modülü aracılığıyla dosya sistemine erişimi engeller. Ancak güvenilmeyen bazı modüller, doğrudan kullanıma uygun olan Python modülleri aracılığıyla dolaylı olarak erişilebilirdir. Varsayılan olarak, Zope Page Templates şablonlarını web üzerinden eklemek veya düzenlemek için Manager rolüne sahip olmanız gerekir. Yalnızca güvenilmeyen kullanıcıların web üzerinden Zope Page Templates eklemesine/düzenlemesine izin veren siteler risk altındadır. Sorun Zope 5.2.1 ve 4.6.1 sürümlerinde giderilmiştir. Geçici çözüm https://github.com/zopefoundation/Zope/security/advisories/GHSA-5pr9-v234-jw36 adresiyle aynıdır: Bir site yöneticisi, standart Zope kullanıcı/rol izin mekanizmalarını kullanarak web üzerinden Zope Page Templates ekleme/düzenleme işlemlerini kısıtlayabilir. Güvenilmeyen kullanıcılara Zope Manager rolü atanmamalı ve web üzerinden Zope Page Templates ekleme/düzenleme işlemleri yalnızca güvenilen kullanıcılarla sınırlandırılmalıdır.
Nasıl düzeltilir
- zope zope4.6.1, 5.2.1 ya da sonraki bir sürüm
- zope4.6.1, 5.2.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| zope zope | v < 4.6.1, 5.0.0 ≤ v < 5.2.1 | 4.6.1, 5.2.1 |
| zopePyPI | v < 4.6.1, 5.0 ≤ v < 5.2.1, 4.0 ≤ v < 4.6.1 | 4.6.1, 5.2.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.