CVE-2021-32704
Açıklama
DHIS 2; veri yakalama, yönetim, doğrulama, analiz ve görselleştirme için kullanılan bir bilgi sistemidir. DHIS2'nin belirli sürümlerinde bir SQL enjeksiyonu güvenlik zafiyeti bulunmuştur. Bu zafiyet; DHIS2 2.34.4, 2.35.2, 2.35.3, 2.35.4 ve 2.36.0 sürümlerindeki /api/trackedEntityInstances API uç noktasını etkilemektedir. 2.34.3 ve 2.35.1 gibi daha eski sürümler ile 2.33 ve öncesindeki tüm sürümler etkilenmemiştir. Sistem yalnızca DHIS2'ye giriş yapmış kullanıcılardan gelen saldırılara karşı savunmasızdır ve önce bir DHIS2 kullanıcısı olarak giriş yapmadan bu zafiyetin istismar edilmesinin bilinen bir yolu yoktur. Bu zafiyetin başarıyla istismar edilmesi, kötü niyetli kullanıcının DHIS2 örneğindeki verileri okumasına, düzenlemesine ve silmesine olanak tanıyabilir. Bu yama sürümleriyle giderilen güvenlik zafiyetlerine ilişkin bilinen herhangi bir istismar mevcut değildir. Ancak, 2.34, 2.35 ve 2.36 sürümlerini kullanan tüm DHIS2 kurulumlarının bu yamaları mümkün olan en kısa sürede yüklemelerini şiddetle tavsiye ederiz. Tracker işlevselliğini kullanan DHIS2 örnekleri için, etkilenen DHIS2 sunucusunu bu zafiyetin düzeltildiği yamalardan birine yükseltmek dışında bilinen basit bir geçici çözüm yoktur. Tracker işlevselliğini KULLANMAYAN kurulumlar için, yükseltme beklenirken geçici bir çözüm olarak /api/trackedEntityInstance uç noktasına yapılan tüm ağ üzerinden POST erişimlerini engellemek mümkün olabilir.
Nasıl düzeltilir
- dhis2 dhis_22.34.5, 2.35.5, 2.36.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dhis2 dhis_2 | 2.34.4 ≤ v < 2.34.5, 2.35.2 ≤ v < 2.35.5, 2.36.0 ≤ v < 2.36.1 | 2.34.5, 2.35.5, 2.36.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.