CVE-2021-32756
Açıklama
ManageIQ açık kaynaklı bir yönetim platformudur. jansa-4, kasparov-2 ve lasker-1 öncesindeki sürümlerde, ManageIQ'nun MiqExpression modülünde düşük yetkili bir kullanıcının değerlendirilecek şekilde özel olarak hazırlanmış bir Ruby dizesi girebileceği bir açık bulunmaktadır. Başarılı bir istismar, saldırganın ana sistem üzerinde root yetkileriyle rastgele kod çalıştırmasına olanak tanır. Bu sorun için jansa-4, kasparov-2 ve lasker-1 adlı sürümlerde yamalar mevcuttur. Mümkünse, kullanıcıları RBAC aracılığıyla yalnızca erişmeleri gereken uygulama bölümleriyle sınırlandırın. MiqExpression ürün genelinde yaygın olarak kullanılsa da, kullanıcıların kısıtlanması saldırı yüzeyini sınırlayabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| manageiq manageiq | jansa-1, jansa-2, jansa-3, kasparov-1, lasker-1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.